Protezione dei dati personali e cybersecurity non sono la stessa cosa. Ma sono strettamente collegate. Il GDPR richiede l'adozione di misure tecniche e organizzative adeguate al rischio e considera, tra gli elementi rilevanti, la riservatezza, l'integrità e la disponibilità dei dati e dei sistemi.
Gli incidenti privacy possono derivare da:
- phishing;
- furto di credenziali;
- malware e ransomware;
- password deboli;
- configurazioni errate;
- condivisioni non controllate;
- perdita di dispositivi;
- accessi non autorizzati;
- errori umani.
Il Garante ha ribadito anche in provvedimenti recenti che l'adeguatezza delle misure tecniche e organizzative deve essere verificata costantemente e può comprendere un'adeguata formazione del personale. Per questo la formazione privacy dovrebbe dialogare con quella sulla sicurezza informatica.
Un utente consapevole della privacy ma incapace di riconoscere un phishing rimane un punto debole. E un utente esperto di cybersecurity che non conosce le regole sul trattamento dei dati può comunque generare una violazione.