Data breach dell’Unione di Comuni Valdarno e Valdisieve: dov’è la comunicazione verso gli interessati?

Stefano Gazzella : 12 Agosto 2022 20:34

Autore: Stefano Gazzella

Sono trascorse due settimane dall’attacco informatico che ha coinvolto l’Unione di Comuni di Valdisieve e Valdarno, e finalmente è arrivata la comunicazione istituzionale a riguardo per informare i cittadini dell’accaduto.

Orbene, leggendola si apprende del fatto che

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

“Molti servizi non sono ancora a disposizione. Si lavora per un graduale ripristino”

che si può ritenere già facilmente conoscibile da parte di chi ha subito gli effetti dell’interruzione dei servizi.

Non viene detto nulla circa una tempistica indicativa di risoluzione e ripristino di operatività, ma nella descrizione della portata delle conseguenze dell’accaduto ci si limita ad informare che “molti servizi al cittadino non possono essere erogati nella loro completezza” e che “per quanto riguarda l’Unione di Comuni, si potrebbero verificare ritardi nei pagamenti verso i fornitori”.

Tutto quel che viene inoltre comunicato circa la natura della violazione è limitato ad un “grave attacco hacker che ha coinvolto, e ancora coinvolge, la rete dati”.

Purtroppo, non è possibile apprendere altro su circostanze dell’accaduto né sulla portata dei dati personali che sono stati oggetto di violazione.

Per quanto riguarda le probabili conseguenze della violazione e dei rischi, secondo il comunicato tutto sembra essere limitato ai soli fornitori alla possibilità di incorrere in ritardi nei pagamenti. Eppure, dai dati pubblicati online i rischi sembrano ben più estesi sia per gli interessati coinvolti che per le conseguenze prospettabili, se non altro per furti di identità, possibilità di subire frodi od essere bersagli di ulteriori attacchi.

E dunque ci si può interrogare circa la natura di questa comunicazione che assume contorni particolarmente surreali soprattutto avendo contezza dei dati che sono stati già oggetto di diffusione.

E rimanendo in tema, potrebbe parafrasarsi l’opera di Magritte e dire Ici n’est pas une communication à la personne concernée d’une violation de données à caractère personnel. Insomma: nei contenuti non è una comunicazione di data breach destinata agli interessati. Non riporta infatti le informazioni indicate dall’art. 34.2 GDPR ad eccezione di un punto di contatto presso cui ottenere maggiori informazioni, sebbene lo stesso sia indicato per ottenere “maggiori chiarimenti sui servizi”.

La norma richiede però che sia fornita una descrizione della natura della violazione, ma soprattutto delle probabili conseguenze e dei rischi per gli interessati nonché sia data contezza delle misure di mitigazione adottate o di cui è prevista l’adozione al fine di ridurre l’impatto della violazione.

Ma questi elementi non sono al momento riscontrabili né tantomeno desumibili.

Dunque, si può immaginare, occorrerà attendere per avere contezza dell’accaduto con quelle che si spera saranno delle comunicazioni integrative frutto dell’analisi di incidente e dell’adempimento agli obblighi del GDPR.

La questione non è di secondaria importanza, dal momento che provvedere in modo tempestivo e completo con le comunicazioni agli interessati persegue l’obiettivo di consentire agli stessi di adottare in proprio le misure necessarie per proteggersi ed evitare l’aggravarsi dei rischi e dei pericoli generati in seguito al data breach.

Stefano Gazzella
Privacy Officer e Data Protection Officer, specializzato in advisoring legale per la compliance dei processi in ambito ICT Law. Formatore e trainer per la data protection e la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Giornalista pubblicista, fa divulgazione su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.
Visita il sito web dell'autore