Un attacco ransomware va notificato ai sensi del GDPR?

Spesso sì, se sono coinvolti dati personali, anche quando nulla è stato rubato. Il GDPRGDPR: regolamento generale sulla protezione dei dati. La legge europea sulla protezione dei dati (regolamento (UE) 2016/679). definisce all'articolo 4, punto 12, la violazione dei dati personali come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. La cifratura da ransomware rende i dati indisponibili, una violazione della disponibilità, e gli attaccanti spesso copiano i dati prima di cifrarli. Secondo l'articolo 33 il titolare notifica la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone, per esempio perché un backup recente ha ripristinato tutto in fretta e nulla è uscito dalla rete. Documenti il ragionamento in entrambi i casi. NetSenX può mostrare se prima della cifratura sono partiti caricamenti insoliti da dispositivi monitorati, il che conta per questa valutazione.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

← Tutte le 35 domande su Scadenze di notificaTutti i temi