“I costi di violazione dei dati sono aumentati da 3,86 milioni di dollari a 4,24 milioni di dollari, il costo totale medi nell’errore umano per il 23% dei casi”; le cause della violazione dei dati personali si possono suddividere, percentualmente, in un problema tecnico per il 25%; e in un attacco malevolo per il restante 52%.”
Questi alcuni dei numeri delle statistiche effettuate sui casi e sull’incidenza dei fenomeni di data Breach nell’ultimo anno.
All’interno di questo scenario, tutt’altro che rassicurante, si inserisce l’ultimo ed eclatante episodio di data Breach venuto alla ribalta : quello subito dalla piattaforma streaming di proprietà di Amazon, Twitch.
Tra il 6 ed il 7 ottobre 2021 la piattaforma ha subito un gravissimo data Breach , che ha determinato la pubblicazione non autorizzata di informazioni e dati personali contenuti in ben 125 GB circa.
La natura illecita della violazione e l’impatto mediatico della vicenda ha “costretto” Twitch a dover superare un primo momento di silenzio sull’accaduto, arrivando a rassicurare gli utenti e i soggetti coinvolti sulla totale gestibilità della situazione in essere, oltre che sulla sicurezza dei dati personali.
Cosa fare in caso di violazione dei dati personali
La definizione di data Breach ( o violazione dei dati personali) è contenuta nell’articolo 4 del Regolamento UE 679/2016, il quale lo definisce come “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.
La gestione degli episodi di data Breach è regolata dagli articoli 33 e 34 del GDPR, che indicano i soggetti coinvolti, le modalità da seguire e le tempistiche a cui prestare attenzione in caso di eventuale violazione dei dati personali.
In primis, il regolamento affida le valutazioni in merito al caso di specie al titolare del trattamento. Una volta analizzata la situazione di specie e quindi la sua reale incidenza dal punto di vista della protezione dei dati personali, il titolare deciderà se notificare o meno all’Autorità Garante la violazione e se comunicare la stessa violazione agli interessati, così come previsto dal GDPR. Per fare tale valutazione, si deve verificare se “sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”. Un’indicazione in merito è stata data, ad esempio, dal c.d. Working Party 29 (gruppo di lavoro comune della autorità di vigilanza e protezione dei dati degli stati membri, attualmente sostituito dal Comitato europeo per la protezione dei dati), tra gli elementi imprescindibili sui quali fondare la decisione, bisogna ricomprendere la natura, il carattere ed il volume dei dati coinvolti, il grado di facilità che il caso di specie presenta in merito all’identificabilità dei soggetti interessati, gravità delle conseguenze per le persone fisiche. Qualora il titolare evidenzi la sussistenza di “effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali”, dovrà , senza ingiustificato ritardo, e comunque entro 72 ore dalla scoperta della violazione, effettuare la notificazione del data Breach all’Autorità Garante.
In ultimo, qualora il data Breach esponga ad un rischio elevato i diritti e le libertà delle persone fisiche, il titolare del trattamento dovrà comunicare la violazione agli interessati coinvolti.
Guadagni degli streamer, password e carte di credito: Cosa è stato divulgato?
Nel caso di specie il data Breach, ossia la violazione, si è determinata nella divulgazione non autorizzata di informazioni riservate, ad opera di soggetti terzi. Tale divulgazione ha interessato dati delicati quali il codice sorgente della piattaforma e i compensi di alcuni creator molto conosciuti.
Sebbene, però, l’evento sia di portata considerevole, Twitch sembra aver da subito operato nell’ottica di “tamponare” le possibili conseguenze di una violazione così incisiva, rassicurando gli utenti sulla sicurezza di dati personali quali credenziali di accesso all’account o altri dati personali riferiti agli utenti.
Violazione della privacy e proprietà intellettuale
Le conseguenze di tale episodio si ripercuotono ovviamente su più fronti, avendo le stesse un eco assai amplificato dalla popolarità e dalla diffusione della piattaforma.
Abbiamo, quindi, una grande “falla” del sistema privacy e della protezione dei dati personali, resasi quanto mai evidente e in merito alla quale si è trovata la causa in una modifica di un server ( che avrebbe a questo punto favorito l’ingresso abusivo di soggetti terzi – hacker – nel sistema, con conseguente accesso ad una mole considerevole di informazioni e dati personali), oltre che un danno di immagine a scapito della piattaforma, che ha destato più di una perplessità sia negli esperti di settore che negli utenti.
Altro aspetto che però non si può considerare è l’impatto che i soggetti coinvolti dalla “fuga di dati” hanno avuto a seguito della divulgazione di informazioni a loro riferite.
Basti pensare, ad esempio, ai creator che si sono visti pubblicare le cifre dei propri guadagni – sicuramente numeri che destano stupore e alcune volte anche invidia – motivo per il quale sono diventati oggetto di pesanti critiche ed insulti, oltre che illazioni sulla poca chiarezza e non totale liceità del proprio operato su Twitch ( da dove vengono questi guadagni esorbitanti? Queste cifre vengono regolarmente dichiarate?).
La valanga di odio da cui i creator sono stati travolti, quindi, ha rappresentato la conseguenza di un evento a monte illecito e “pericoloso”, rivelatosi ancor più pericoloso alla luce del risvolto negativo appena descritto.
Come garantire la sicurezza dei dati personali?
Quello che episodi di questo tipo fanno emergere è la necessità, sempre più impellente e non rimandabile, di focalizzare l’attenzione in maniera seria e concreta su aspetti come la protezione dei dati personali e la sicurezza informatica, i quali, se lasciati da parte, possono tradursi anche in consistenti danni economici, oltre che di immagine.
Oltre a ciò, non deve essere mai sottovalutato il ruolo degli utenti/interessati del trattamento, ai quali devono essere garantiti standard di tutela – sotto questi profili – che possano garantire la sicurezza dei diritti e delle libertà degli stessi.
Se hai dubbi su quale misure tecnico-organizzative adottare per garantire la sicurezza dei dati personali trattati e allo stesso tempo tutelare il tuo business, rivolgiti al nostro studio legale partner, FCLEX, che potrà offrirti una consulenza personalizzata e ti aiuterà ad individuare le soluzioni migliori per il tuo caso concreto.
Redazione Diritto dell’Informatica
