“Quattro segnalazioni di attacchi privacy al giorno: è la media registrata nel 2020 di notificazioni di cosiddetti data breach. È il bilancio registrato dal Garante della privacy nella Relazione dell’attività svolta nel 2020 presentata ieri a Roma.

Nella relazione si evidenzia che, dal 1° gennaio al 31 dicembre 2020, sono pervenute al Garante 1.387 notifiche di violazione dei dati personali ai sensi dell’articolo 33 del Regolamento Ue sulla protezione dei dati n. 2016/679 (Gdpr) e dell’articolo 26, dlgs n. 51/2018 (trattamento di dati in ambito giudiziario penale).

Nella relazione il Garante aggiunge che le notificazioni hanno riguardato soggetti pubblici, nel 29% dei casi, e soggetti privati nel 71% dei casi. Le segnalazioni di data breach sono la cartolina di tornasole del grado di effettività della applicazione delle norme sulla protezione dei dati e il rendiconto per il 2020 indica che c’è ancora molta strada da fare.

L’analisi del fenomeno mette in evidenza che i problemi di tutela dei dati contro attacchi dolosi o condotte negligenti si manifestano trasversalmente in tutti i settori.

Il Garante sintetizza i casi più significativi: hanno riguardato enti pubblici come l’Inps, coinvolto da violazioni dei dati nel periodo di avvio di bonus vari; molti enti locali; la sanità, con la diffusione di dati relativi al Covid-19; scuole e università; il settore delle telecomunicazioni, energetico e bancario; enti pubblici non economici di rilievo nazionale; operatori privati nel settore bancario e dei servizi.

A farla da padrone nelle statistiche sono gli attacchi informatici. Scendendo nel tecnico, si tratta di attacchi chiamati Ddos, Distributed denial of service, i quali rendono non disponibili temporaneamente i servizi online interferendo con le infrastrutture di rete. Oppure può trattarsi della diffusione di malware di tipo ransomware, cioè la cifratura dei dati e la richiesta di riscatto in bitcoin, con impedimento di accesso ai dati all’interno dei sistemi server, delle postazioni di lavoro e dei database. Oppure, ancora, si è trattato di accessi non autorizzati ai dati trattati o nella diffusione accidentale di dati personali a causa di erronee configurazioni dei sistemi software di gestione della posta elettronica.

Connessi alla pandemia e ai collegamenti da remoto, diventati quotidiani per i lavoratori agili e gli studenti a distanza, sono stati gli accessi abusivi alle aree di videoconferenza. Il fenomeno del data breach è particolarmente preoccupante perché, nelle more di soluzioni di sistema, ogni imprenditore e ogni ente deve cautelarsi da sé a pena di sanzioni amministrative, anche molto salate.

La notificazione del data breach, per cui tra l’altro dal 1° luglio 2021 è disponibile sul sito del Garante della privacy una modalità tutta telematica, è, infatti, obbligatoria e innesca anche un parallelo procedimento sanzionatorio per violazioni delle misure di sicurezza.

I numeri:

Nel 2020 incassati 38 milioni di euro da sanzioni privacy.

È quanto riferisce la relazione annuale del Garante della privacy. L’ambito della vigilanza, strategico per ammissione espressa della stessa relazione, arriva a 184 il totale delle misure correttive e sanzionatorie irrogate nel 2020, tra cui 45 ammonimenti e 56 sanzioni pecuniarie. Sempre nel 2020 il Garante ha realizzato 21 ispezioni (bisogna tenere conto dell’impatto dell’emergenza da Covid-19). Gli accertamenti svolti hanno riguardato in particolare, la fatturazione elettronica; le grandi banche pubbliche; i software per la gestione del «whistleblowing»; le società di intermediazione immobiliare; il marketing; il food delivery.

Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 8 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori; accessi abusivi a sistemi informatici; trattamento illecito dei dati; falsità nelle dichiarazioni. Inoltre nel 2020 il Garante ha adottato 278 provvedimenti collegiali, ha risposto a circa 9 mila reclami e segnalazioni.

Il settore che conta più segnalazioni e reclami è il marketing/reti telematiche (oltre 4200 casi), seguito dal mondo delle imprese (circa 2500 reclami e segnalazioni, concernenti in particolare settore bancario e finanziario e lavoro). Passando all’attività consultiva, il Garante ha fornito 7 pareri su norme di rango primario e 60 pareri su atti regolamentari e amministrativi, in materia di sanità (Covid-19); fisco; giustizia; trasporti; digitalizzazione della p.a.; statistica. Nei confronti dell’utenza si contato 15 mila risposte dell’ufficio relazione con il pubblico, che hanno riguardato, in particolare, gli adempimenti connessi all’applicazione del Regolamento Ue, seguiti dalle questioni legate al telemarketing indesiderato; alle problematiche poste dal web; ai rapporti di lavoro pubblico e privato.

di Antonio Ciccia Messina