ho perso una chiavetta USB con dati dei clienti è un evento di violazione dei dati

Una chiavetta USB smarrita è solitamente una violazione dei dati

Una chiavetta USB con dati dei clienti che è andata persa è nella maggior parte dei casi una violazione dei dati secondo il GDPR. La definizione dell'articolo 4 del GDPR parla di una violazione della sicurezza che porta alla perdita di dati personali, e questo è esattamente quello che accade quando una chiavetta contenente nomi, indirizzi o altri dati dei clienti non può più essere ritrovata: i dati non sono stati distrutti, ma sono sfuggiti al controllo dell'azienda. Che cadano anche nelle mani sbagliate non è il punto centrale della questione — la perdita di controllo è già sufficiente per rientrare nella definizione.

Quello che accade dopo dipende da cosa c'era sulla chiavetta e come era protetta. Una chiavetta crittografata con un set limitato di dati presenta un quadro diverso rispetto a una chiavetta non protetta con molti dati dei clienti o informazioni sensibili. Questa distinzione è rilevante per la domanda quando devo segnalare una violazione dei dati all'Autorità per la protezione dei dati, e anche per la domanda se i clienti stessi devono essere informati — questa questione è descritta nella pagina su devo informare personalmente gli interessati in caso di violazione dei dati. Per la distinzione tra un incidente e una violazione dei dati in senso più ampio, la pagina che cos'è esattamente una violazione dei dati è un punto di partenza logico.

Sulla base di cosa

La definizione di violazione è contenuta nell'articolo 4 del GDPR, e l'articolo 33 del GDPR disciplina la notifica all'autorità di controllo quando sono soddisfatte le condizioni per farlo. L'Autorità per la protezione dei dati elabora ulteriormente questo aspetto sulla sua pagina relativa alla segnalazione delle violazioni dei dati, e l'EDPB ha pubblicato linee guida con esempi di tipi di violazioni dei dati, inclusa la perdita di supporti dati. L'obbligo di segnalazione si applica in tutta l'UE in virtù del regolamento, ma il luogo in cui effettuare la segnalazione varia da paese a paese: nei Paesi Bassi è l'Autorità per la protezione dei dati, negli altri Stati membri è l'autorità di controllo designata lì.