Beh ci hai guadagnato a "cambiare aria"!

Nessun obbligo. Dovevate farlo voi o chi per voi.

La perdita dei dati che non comporta dati sensibili non ha assolutamente alcuna ripercussione. Dato che perdita è diversa da sottrazione.

@ManagedServer.it said:

La perdita dei dati che non comporta dati sensibili non ha assolutamente alcuna ripercussione.

Ciao, attenzione perché non è proprio così, il nuovo regolamento GDPR "unifica" dati personali e dati sensibili.

Assolutamente no. Ripeto un conto è la sottrazione e furto di dati, un conto una perdita dovuta ad esempio ad una cancellazione. La prima equivale ad un data breach, la seconda no. La prima procedibile obbligatoriamente tramite segnalazione al garante, la seconda no.

Ribadisco : perdere un DB piuttosto che farselo fregare non ha nulla a che vedere con il garante.

@ManagedServer.it said:

Ripeto un conto è la sottrazione e furto di dati, un conto una perdita dovuta ad esempio ad una cancellazione.

Ho commesso anche io lo stesso errore in un post precedente dove ho affermato la stessa cosa, ma è appunto un errore.
Il GDPR "unifica" qualsiasi evento che comporta la perdita di dati che siano questi persi o cancellati accidentalmente o appunto rubati, l'articolo 4, paragrafo 12, dice infatti:

la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.

privacy-regulation.eu/it/4.htm

Il correlato articolo 33 specifica poi:

*In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo. *

privacy-regulation.eu/it/33.htm

Non c'è molto da interpretare, ma è chiaro che è molto più grave non comunicare entro i termini previsti il furto di dati piuttosto che la cancellazione accidentale.

Riguardo i dati personali o sensibili, anche questi sono "unificati" dal nuovo regolamento. Chiaro che un conto è trattare un Nome associato a un indirizzo email, un conto è trattare dati che contengono idee politiche o religiose etc.
Ma anche per quanto riguarda i dati personali, se io ti scrivo una mail dal tuo sito devi fare molta attenzione a come tratti il mio nome e il mio indirizzo email, se inoltri la mia mail a persona estranea alla tua attività commetti un reato, se perdi la chiavetta USB di backup che contiene i miei dati personali e non denunci la cosa commetti un reato.
E dovrai anche giustificare il motivo per cui conservavi su questo supporto i miei dati senza che io fossi un tuo cliente.

Non è una violazione di sicurezza. Ribadisco. E' irrilevante quello che c'è scritto ogni testo è interpretabile ... e nessuno può dire che sia una distruzione accidentale, dato che per quel che mi riguarda la cancellazione è stata fatta volutamente e non in modo accidentale.

@ManagedServer.it said:

la cancellazione è stata fatta volutamente e non in modo accidentale.

Certo, ma lo sai da chi è stata fatta? Dal webmaster (terza persona) che ha costruito il nuovo sito. Tu lo sai con certezza se il webmaster ha realmente cancellato i dati aziendali? E forse ti è sfuggito ma stexxx ha parlato di parecchi dati non di qualche nome cognome e indirizzo email.
Questo è uno dei tanti motivi per cui è nato il nuovo regolamento europeo e che impone nelle azienda la figura del DPO, proprio per evitare i classici "e ma io credevo che".

Se vuoi tu puoi interpretare a tuo comodo il GDPR, mi permetto solo di dirti di fare attenzione perché il Garante lo sa interpretare molto meglio di chiunque altro.

@criceto said:

Vediamo di mettere un punto fermo ...
a) contrariamente a quanto affermato all'inizio dall'autore del post di dati nel vecchio sito ce ne stavano ... il database degli utenti per esempio, quindi era soggetto alla regolamentazione delle "misure minime".
b) la legge parlava chiaro! era compito del responsabile aziendale (nella fattispecie il boss "pirla" che ovviamente non avrà mai nominato nessuno a norma di legge in tal senso, assumendo quindi l'incarico di system administrator "ad interim") accertarsi di salvaguardare i dati in questione.
c) alla luce di quanto sopra l'azienda ha "torto marcio".

Il dlgs 196/03 risolve il problema? è quello che dici? o la gdpr comunque. giusto per averne la conferma e mettere davvero un punto fermo.

@ManagedServer.it said:

Non è una violazione di sicurezza. Ribadisco. E' irrilevante quello che c'è scritto ogni testo è interpretabile ... e nessuno può dire che sia una distruzione accidentale, dato che per quel che mi riguarda la cancellazione è stata fatta volutamente e non in modo accidentale.

visto l'andazzo e possibile che venga detto di tutto. anche e facilmente il falso. gia il capo nega che la cancellazione era concordata quindi puoi immaginare.

@hub said:

Certo, ma lo sai da chi è stata fatta? Dal webmaster (terza persona) che ha costruito il nuovo sito. Tu lo sai con certezza se il webmaster ha realmente cancellato i dati aziendali? E forse ti è sfuggito ma stexxx ha parlato di parecchi dati non di qualche nome cognome e indirizzo email.
Questo è uno dei tanti motivi per cui è nato il nuovo regolamento europeo e che impone nelle azienda la figura del DPO, proprio per evitare i classici "e ma io credevo che".

Se vuoi tu puoi interpretare a tuo comodo il GDPR, mi permetto solo di dirti di fare attenzione perché il Garante lo sa interpretare molto meglio di chiunque altro.

centinaia se non migliaia di nomi, cognomi, mail e numeri di telefono di sicuro. quasi sicuramente anche molti indirizzi parziali o totali.

adesso il capo vuole dei danni da qualcuno. pensavo che fosse chiusa e invece...
li chiede a me oppure al webmaster. io ho pagato il webmaster di tasca mia per chiuderla e andarmene. il capo mi ha fregato insomma visto che vuole dei danni da me o lui. non ho parole...

Che brutta situazione!E si che stavo cercando informazioni come nuovo iscritto al forum sul gdpr per un sito finito da un pezzo mai aperto e con il dominio di recente scaduto proprio perchè non sò applicare la privacy...cookie...etc
Mi spiace per la tua vicenda Stexx! Come sta andando?Come procede?

Stexxx cambia azienda, al massimo prima fagliela pagare al "capo", basta un app per registrare

A questo punto una letterina da un avvocato la farei scrivere all' ex capo.... che elemento!!!

Ma chiedere all'Hosting un ripristino? E' un servizio che si può richiedere (a meno che non abbiate il sito su un server interno all'azienda) fino a qualche tempo prima riesco a risalire.... avevo un cliente che metteva le mani sul suo sito e quando faceva danni aprivo un ticket all'hosting e chiedevo un ripristino a qulche giorno indietro... adesso è passato un po' di tempo.. ma chissà magari...

Com'è andata a finire alla fine? Questi poracci pagliacci che si improvvisano imprenditori a volte sono esilaranti.
Sono in completa infrazione da galera e vogliono spaventare lo sfortunato webmaster che ha avuto la sfortuna di incontrarli.
Magari questi erano pure ladri che hanno tentato un'estorsione al webmaster oppure volevano che stexx si licenziasse.

Rimango basito. Questi in caso di backup fatto dal webmaster erano capaci di fargli comunque rogne per furto di materiale informatico e forse avrebbero pure avuto ragione.

Per me erano ladri. Immagino che sia finito tutto nel nulla. Nessuno è stato pagato, stexx se n'è andato ed il pagliaccio imprenditore ha continuato la sua vita cercando il prossimo pollo...