Dati personali rubati in un data breach: cosa fare

Come denunciare una violazione dei dati personali

Per denunciare una violazione dei tuoi dati personali puoi presentare un reclamo al Garante per la protezione dei dati personali, l’autorità italiana che controlla come aziende ed enti usano i dati delle persone. Il reclamo è gratuito. La pagina del Garante con il modello di reclamo indica tre modi per inviarlo:

• Per PEC all’indirizzo [email protected], che riceve solo messaggi inviati da un’altra casella PEC.
• Per raccomandata A/R a Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma.
• A mano, negli uffici del Garante allo stesso indirizzo.

Il reclamo deve essere firmato con firma digitale, con firma autenticata oppure a mano. Se firmi a mano, devi allegare la copia di un documento d’identità valido. Nel reclamo indica l’azienda o l’ente che ha subito la violazione, spiega che cosa è successo e che cosa hai già chiesto all’azienda. Puoi scaricare il modello dalla stessa pagina.

Se non vuoi presentare un reclamo formale, puoi inviare al Garante anche una segnalazione. È gratuita, non richiede un modulo obbligatorio e si può mandare anche per email ordinaria a [email protected]. Dopo un reclamo, il Garante apre un’indagine sul tuo caso. Una segnalazione, invece, viene valutata e può portare il Garante a intervenire.

Il reclamo al Garante riguarda il modo in cui l’azienda ha protetto i tuoi dati. Se qualcuno li ha già usati per aprire un conto, chiedere un prestito o fare pagamenti, devi anche presentare una denuncia alle forze dell’ordine, come spiega la guida al furto di identità.

Un data breach significa che la tua identità è stata rubata?

Il Garante per la protezione dei dati personali definisce il data breach come una violazione della sicurezza che causa, per errore o in modo illecito, la distruzione, la perdita, la modifica, la diffusione o l’accesso non autorizzato a dati personali. Tra gli esempi ci sono persone che accedono ai dati senza permesso, il furto o la perdita di un computer o di un telefono che contiene dati, dati che diventano inaccessibili a causa di un attacco o di un guasto e dati distrutti da un incidente.

L’esposizione dei dati non significa che qualcuno li abbia già usati. Spesso i dati rubati vengono venduti in grandi gruppi, restano inutilizzati a lungo e riguardano molte più persone di quante un truffatore riesca a colpire. Una violazione può portare a un furto di identità, ma in molti casi non succede.

Dopo un’esposizione bisogna proteggere gli accessi rimasti vulnerabili e controllare la situazione. Se i dati sono già stati usati, per esempio per aprire un conto a tuo nome o fare un pagamento che non hai autorizzato, servono una denuncia, contestazioni e documenti scritti, come spiega la guida al furto di identità.

Cosa deve fare l’azienda che ha subito la violazione

Secondo il Garante, l’azienda o l’ente che usa i dati, chiamato titolare del trattamento, deve segnalare la violazione al Garante senza ritardi ingiustificati e, se possibile, entro 72 ore da quando l’ha scoperta. Non deve farlo se è improbabile che ci siano rischi per le persone. Se invece il rischio è elevato, deve avvisare anche tutte le persone interessate usando i canali più adatti.

L’articolo 34 del regolamento europeo sulla protezione dei dati indica quali informazioni deve contenere la comunicazione. Deve usare un linguaggio semplice e chiaro e spiegare il tipo di violazione, il nome e i contatti del responsabile della protezione dei dati o di un altro referente, le probabili conseguenze e le misure prese o proposte per risolvere il problema e limitare i danni.

Lo stesso articolo prevede tre casi in cui non è obbligatorio avvisare le persone: quando i dati erano protetti in modo da risultare incomprensibili a chi non era autorizzato, per esempio con la cifratura; quando l’azienda ha poi preso misure che evitano il rischio elevato; quando avvisare tutti richiederebbe uno sforzo sproporzionato. In quest’ultimo caso deve fare una comunicazione pubblica. Per questo, a volte, si viene a sapere di una violazione da un giornale e non da una lettera.

Come leggere la comunicazione ricevuta

Cerca prima di tutto la parte che elenca i dati coinvolti, perché di solito non si trova nel titolo. Sapere quali dati sono stati esposti ti permette di capire che cosa fare.

La comunicazione dovrebbe rispondere a queste cinque domande:

• Quali dati sono stati esposti? Cerca l’elenco preciso e non fermarti alla frase riassuntiva. Nome ed email comportano rischi diversi rispetto a un documento d’identità o ai dati della carta.
• I dati erano cifrati? Se lo erano, di solito l’azienda lo scrive, perché la cifratura riduce molto il rischio.
• Quando è avvenuta la violazione e quando è stata scoperta? Più tempo è passato, più a lungo i dati potrebbero essere rimasti in circolazione.
• La violazione riguarda il tuo profilo o tutti i clienti? Molte comunicazioni vengono inviate a tutte le persone presenti nell’archivio.
• Chi puoi contattare per avere informazioni? Il regolamento europeo richiede di indicare il responsabile della protezione dei dati o un altro referente.

Prima di agire, verifica che la comunicazione sia vera, perché i truffatori possono copiarla. Non usare i link o i numeri presenti nel messaggio. Digita nel browser l’indirizzo del sito dell’azienda oppure chiama il numero indicato sul contratto, sulla bolletta o sulla carta e chiedi se la comunicazione è autentica.

I primi passi da seguire per qualsiasi dato esposto

Per ogni violazione puoi iniziare con tre azioni, anche prima di sapere nel dettaglio che cosa è stato esposto. Richiedono poco tempo e riducono i rischi più comuni.

• Cambia subito la password del servizio coinvolto e sostituiscila anche su tutti i siti in cui hai usato la stessa password o una molto simile. Chi ruba un elenco di credenziali, cioè indirizzi email e password, spesso prova a usarle anche su altri siti.
• Attiva la verifica in due passaggi dove è disponibile, partendo dall’email e dalla banca. Un’app che genera codici di accesso o una chiave di sicurezza offrono una protezione maggiore rispetto a un codice via SMS, ma anche l’SMS è molto meglio di niente.
• Controlla le impostazioni di sicurezza dell’account. Chiudi le sessioni aperte, rimuovi i dispositivi che non riconosci e, nell’email, verifica le regole di inoltro automatico e l’indirizzo di recupero. Queste impostazioni possono essere modificate per prendere il controllo della casella senza farsi notare.

L’email richiede più attenzione perché viene usata per recuperare l’accesso agli altri servizi. Chi entra nella tua casella può chiedere di cambiare le password della banca, dei negozi e dei social senza conoscere quelle vecchie.

Usa una password diversa per ogni servizio. Per creare e ricordare molte password puoi usare un gestore di password, cioè un’app che le conserva al posto tuo.

Cosa fare in base ai dati esposti

Password o dati di accesso

Cambia la password del servizio coinvolto e di tutti gli account in cui l’hai riutilizzata. Considera esposto ogni account che aveva la stessa password. Se usavi domande di sicurezza, cambia anche le risposte.

Numero della carta di pagamento

Chiedi alla banca di bloccare e sostituire la carta e attiva gli avvisi per ogni pagamento. Fai attenzione soprattutto ai piccoli addebiti che non riconosci, perché possono servire a verificare se la carta funziona. Puoi contestare le operazioni fatte da altri senza il tuo consenso. La Banca d’Italia, nella pagina sulle truffe nei pagamenti, spiega che, se la banca nega il rimborso o non risponde entro 15 giorni lavorativi, puoi rivolgerti all’Arbitro Bancario Finanziario.

IBAN e dati del conto

Chiama la banca e chiedi che cosa consiglia di fare per quel conto. Attiva gli avvisi per bonifici e addebiti, poi controlla con più attenzione l’estratto conto nei mesi successivi.

Documento d’identità, foto del viso o codice fiscale

Questi dati richiedono più cautela, perché un documento può essere usato per aprire contratti e creare identità digitali. La Polizia Postale ha descritto come documenti e selfie rubati vengano usati per creare una seconda identità SPID a nome della persona coinvolta. La prima identità resta attiva, mentre la seconda permette di entrare nei portali pubblici, sottrarre crediti fiscali e cambiare l’IBAN registrato. Controlla gli accessi al tuo SPID, l’IBAN registrato all’Agenzia delle Entrate e, nei mesi successivi, i dati a tuo nome nella Centrale dei Rischi della Banca d’Italia, che puoi consultare gratis.

Dati sanitari

Chiedi all’azienda o alla struttura sanitaria quali dati sono stati coinvolti e che cosa ha fatto per limitare il danno. Il rischio riguarda soprattutto la riservatezza. Potresti anche ricevere messaggi o telefonate che usano informazioni sulla tua salute per sembrare credibili.

Solo nome, email o numero di telefono

È il caso più comune e, da solo, quello meno grave. Non richiede blocchi o contestazioni, ma può aumentare il numero di messaggi rivolti proprio a te, come spiega la sezione seguente.

I messaggi falsi che arrivano dopo la violazione

Dopo una violazione arrivano spesso messaggi che parlano proprio dell’accaduto. Alcuni vengono davvero dall’azienda. Altri sono inviati da truffatori che hanno letto la stessa notizia e sanno che un gruppo preciso di clienti si aspetta di essere contattato.

Potresti ricevere una telefonata da un falso “servizio antifrode” che vuole verificare la tua identità, un’email che offre un controllo gratuito tramite un link, un messaggio che segnala movimenti sospetti e chiede di spostare i soldi su un conto sicuro oppure la chiamata di un falso tecnico che si offre di proteggere il computer.

La Banca d’Italia spiega che il truffatore finge di essere qualcuno di cui ti fidi, come la banca, un ente pubblico o un’azienda di cui sei cliente, e crea un senso di urgenza per farti agire senza darti il tempo di verificare la storia. Se ricevi uno di questi contatti, interrompilo, cerca personalmente il numero o l’indirizzo ufficiale e richiama. Un’azienda vera accetterà questa precauzione, soprattutto dopo una violazione.

Se hai perso soldi, potresti essere contattato anche da chi offre di recuperarli in cambio di un pagamento. Anche questa è una truffa. La guida su come riconoscere un’email falsa spiega come individuare i messaggi più comuni.

Cosa puoi chiedere all’azienda dopo un data breach

Dopo un data breach puoi chiedere direttamente all’azienda quali tuoi dati usa e che cosa è successo a quelli coinvolti. Il Garante spiega nella pagina sull’esercizio dei diritti che non servono procedure particolari. Puoi inviare la richiesta, per esempio, con una raccomandata o un’email. Il titolare deve rispondere entro un mese. Nei casi complessi può avere altri due mesi, ma deve avvisarti entro il primo mese.

Se non ricevi una risposta, se la risposta non ti convince o se pensi che l’azienda non abbia protetto i dati come doveva, puoi rivolgerti al giudice oppure presentare il reclamo al Garante descritto all’inizio di questa pagina. Il Garante può ordinare misure correttive e applicare sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo.

Se la violazione ti ha causato un danno, economico o di altro tipo, l’articolo 82 del regolamento europeo riconosce il diritto a chiedere un risarcimento al titolare o al responsabile del trattamento. Per capire se puoi chiederlo e come farlo nel tuo caso, rivolgiti a un avvocato o a un’associazione di consumatori.

Cosa controllare nei mesi successivi

I dati esposti possono essere usati anche molto tempo dopo. Per questo bisogna continuare a controllare la situazione nei mesi successivi e cercare segnali che indichino un uso dei dati.

• Finanziamenti o carte che non hai richiesto nella Centrale dei Rischi o nei sistemi privati che raccolgono informazioni sui crediti.
• Lettere su contratti, prestiti o carte che non conosci, compreso il rifiuto di una richiesta che non hai fatto.
• Richieste di pagamento per cose che non hai comprato.
• Piccoli addebiti che non riconosci sulla carta o sul conto.
• Avvisi di accesso, email per cambiare la password o codici di verifica che non hai richiesto.
• Il telefono che perde la rete senza motivo, perché qualcuno potrebbe aver chiesto una nuova SIM con il tuo numero.
• Accessi al tuo SPID che non riconosci o un IBAN diverso registrato per i rimborsi.

Se compare uno di questi segnali, qualcuno potrebbe aver usato i tuoi dati. Contatta la banca o la società coinvolta, presenta una denuncia e invia le contestazioni per iscritto. La guida al furto di identità spiega in quale ordine farlo.

Nessuno di questi passaggi garantisce una protezione totale, perché sono le aziende a custodire i dati e a decidere come proteggerli. Puoi però rendere più difficile l’uso dei dati esposti e accorgerti prima di eventuali problemi.

Domande frequenti sui data breach