siamo stati colpiti da ransomware è automaticamente una violazione di dati

Il ransomware è solitamente una violazione dei dati, ma non automaticamente

Un attacco ransomware è solitamente una violazione dei dati nel senso del GDPR, ma il collegamento tra "colpiti da ransomware" e "quindi notificare" non è automatico. L'articolo 4 del GDPR definisce una violazione come qualsiasi distruzione, perdita, alterazione o divulgazione non autorizzata di dati personali. Nel caso del ransomware, i file vengono crittografati o resi inaccessibili, e ciò rientra nella "perdita di disponibilità" — anche se i dati non sono stati visualizzati o copiati. In tal modo, di norma è soddisfatta la definizione di una violazione, il che tuttavia è diverso dalla questione che cos'è esattamente una violazione dei dati che significa per l'obbligo di notifica in un caso concreto.

Se i dati personali fossero presenti in quei file crittografati e se vi sia effettivamente un rischio per le persone i cui dati sono interessati rimane una questione separata. Un attacco ransomware a un server senza dati personali non è una violazione ai sensi del GDPR. Un attacco in cui i dati sono effettivamente compromessi, ma è disponibile un backup funzionante e il recupero è rapido, può comportare un rischio inferiore rispetto a un attacco in cui i dati sono stati anche esfiltrati (doppio ricatto). Questa valutazione del rischio determina successivamente quando una violazione dei dati deve essere segnalata all'Autorità per la protezione dei dati, e se gli interessati stessi devono essere informati.

Sulla base di cosa

La definizione di violazione nell'articolo 4 del GDPR è il punto di partenza; l'articolo 33 del GDPR disciplina la notifica all'autorità di controllo non appena si verifica una violazione, e l'articolo 32 del GDPR affronta la questione se la sicurezza era adeguata prima che l'attacco avvenisse. Le linee guida dell'EDPB elaborano esplicitamente esempi di ransomware, inclusa la distinzione tra crittografia senza esfiltrazione e attacchi in cui i dati sono stati anche rubati. L'obbligo di valutare una violazione e eventualmente notificarla si applica in tutta l'UE allo stesso modo, perché il GDPR ha effetto diretto; quale autorità di controllo riceve la notifica varia per Stato membro — nei Paesi Bassi è l'Autoriteit Persoonsgegevens, in altri paesi l'autorità di controllo dello Stato membro interessato. Quando un fornitore IT o un partner di hosting è colpito dal ransomware, si pone inoltre la questione se una notifica da parte di un fornitore determina anche un obbligo di notifica autonomo.