Quella sottile differenza... nell'applicazione della legge di Murphy

Il 24 maggio, un giorno prima dell'entrate in vigore del GDPR, il sito dell'autorità Garante per la Privacy Inglese (ICO) si è sconnesso dalla rete per più di due ore. Poco male, certamente un guasto tecnico gestito in un tempo tecnico. Si può dire che il guaio sia capitato nel giorno sbagliato ed all'ente sbagliato, ma chi frequenta i sistemi informatici è abituato a gestire la loro perfidia e conosce alla perfezione la legge di Murphy, inclusi corollari e postulati.

Purtroppo, il 22 agosto, il medesimo sito dell'ICO è stato afflitto dalla peggiore disgrazia che possa colpire un sito web: un devastante crash informatico che ha comportato il malfunzionamento del sito per oltre 2 giorni. Due giorni, senza prospettive sui tempi di ripristino e senza la possibilità di accedere ai materiali pubblicati, senza poter inviare le notifiche all'autorità, senza accedere alle registrazioni dei titolari del trattamento (in Inghilterra è un adempimento previsto in modo generalizzato), ecc.

Murply non perdona!

In questi giorni, anche il nostro Garante Privacy sta subendo la stessa sorte e vive le impietose conseguenze della immutabile regola aurea.

Murphy non perdona!

Su suolo Italico, il 25 maggio, sicuramente per un eccessivo lavoro del server e delle linee, il sito del nostro Garante è risultato irraggiungibile per ore... effettivamente il tamtam mediatico ha portato molta più gente del previsto ad occuparsi di una materia che, generalmente, è frequentata da 4 gatti spelacchiati e 4 minions.

Ripenso all'antico adagio letto tante volte in tribunale: "la legge è uguale per tutti"...e poi ripenso alla legge di Murphy!

Il 4 Settembre, dopo una lunga e ansiosa attesa, è stato pubblicato il D.Lgs 101/2018 che modifica e armonizza il D.Lgs 196/03 al GDPR. Una giornata campale, densa di emozioni per tutti i gatti spelacchiati e i minions che di privacy sono appassionati.

Purtroppo... Murphy non perdona!

Il 5 settembre, all'alba della pubblicazione dell'importante nuova legge, il sito del Garante Privacy va offline, si scollega dal mondo: irraggiungibile... muto e sordo ad ogni tentativo di accesso!
E pensare che non si tratta di un sito vetrina, statico e immutabile. Garanteprivacy.it è un sito molto frequentato, ricco di contenuti, magari non paragonabile ai siti di alcune Autority gemelle in altri stati d'Europa, ma pur sempre punto di riferimento per i cultori della protezione dei dati personali.

In effetti, oltre ad essere il faro che traccia la rotta per il corretto adempimento della norma, è anche un portale per una serie di "servizi": attraverso il sito è gestito il registro delle notifiche del trattamento per chi era tenuto ad effettuarla (in effetti è un obbligo tutt'ora vigente), è l'interfaccia di invio dei dati di contatto del DPO nominato presso gli enti che debbono dotarsi del responsabile della protezione, è il punto di contatto per ricorsi e segnalazioni.

Un evento, insomma, che mortifica il requisito della disponibilità del dato personale previsto dall'articolo 32 del GDPR!

Potrebbe andare peggio? Beh, si... sul sito del garante si dovrebbero notificare i Data breach...  Opps! Come fa ora il Garante a notificare il suo stesso Data Breach?

Murphy non perdona!

Probabilmente questa autodenuncia circolare di data breach non avverrà e non è previsto debba avvenire, anche se mi sembra tutto abbastanza ridicolo.

Amaramente, smetto però di ridere se penso che noi gatti spelacchiati e noi minions, se subiamo un evento del genere, dobbiamo autodenunciarci al Garante e saremo chiamati a dare prova di aver fatto tutto il necessario per scongiurare l'inaccessibilità dei dati e garantire il requisito della disponibilità, di aver garantito la continuità dei servizi, di aver escluso la possibile perdita di dati, di aver impedito accessi non autorizzati e di aver organizzato la resilienza del sistema.

Noi dobbiamo dotarci di efficaci procedure di disaster recovery e di business continuity. Noi dobbiamo vincolare i nostri processor a standard analoghi di protezione dei dati e, se non facciamo tutto questo, veniamo sanzionati, incriminati e dobbiamo risarcire i danni causati.

...e tutto questo accadrà, è una certezza: Murphy non perdona!

CB