Che cos'è esattamente una violazione dei dati?

Una violazione dei dati è ogni incidente in cui dati personali sono stati esposti, persi o modificati

Una violazione dei dati è, in breve, un evento in cui i dati personali non sono più al sicuro: sono stati persi, sono finiti in mani sbagliate, oppure sono stati modificati o cancellati senza autorizzazione. Non si tratta quindi solo di hacking. Un'e-mail indirizzata male con un elenco di clienti in allegato, un laptop rubato senza crittografia, una chiavetta USB trovata per strada, un attacco di phishing con cui vengono sottratte le credenziali di accesso, oppure un errore di sistema che rende i dati accessibili al pubblico senza intenti — tutto rientra nella stessa definizione, dal momento che sono coinvolti dati personali.

Nella pratica si distingue tra tre tipi di incidenti: un incidente di disponibilità (i dati sono stati persi o resi inaccessibili, ad esempio da un attacco ransomware o da un backup difettoso), un incidente di integrità (i dati sono stati modificati involontariamente) e un incidente di riservatezza (i dati sono stati visualizzati o condivisi da persone che non avevano il permesso di farlo). Un singolo incidente può rientrare in più di uno di questi tipi contemporaneamente. Se un evento è una violazione dei dati è indipendente dalla questione se deve essere notificato — quest'ultimo dipende dal rischio che i soggetti interessati corrono, ed è una fase separata che viene dopo l'accertamento della violazione.

Fondamento normativo: articolo 4 GDPR

La definizione di violazione dei dati proviene direttamente dall'articolo 4 del GDPR, dove un "incidente relativo a dati personali" è descritto come un incidente sulla sicurezza che accidentalmente o illegittimamente determina la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati trasmessi, conservati o altrimenti trattati. Questa definizione si applica direttamente in ogni Stato membro, senza variazioni nazionali. L'Autorità Garante per la protezione dei dati personali elabora ulteriormente questa definizione nella sua pagina sulle violazioni dei dati con la classificazione in incidenti di disponibilità, integrità e riservatezza, e con esempi pratici.