Definizione dei dati sensibili

Le persone spesso usano i termini dati sensibili, dati personali e dati riservati in modo intercambiabile. Nell’uso informale, i dati sensibili sono tutte le informazioni che non si desidera vengano divulgate.
Tuttavia, quando si tratta di obblighi legali, la definizione di dati sensibili è più specifica.

I dati sensibili sono una classe speciale di dati che necessita di una protezione extra a causa delle ramificazioni della loro esposizione. Se i dati sensibili vengono esposti, c’è un’alta probabilità di danni finanziari, personali o reputazionali se finiscono nelle mani sbagliate. Comprendere il significato dei dati sensibili è fondamentale per le organizzazioni per garantire che proteggano adeguatamente le informazioni personali e riservate da accessi non autorizzati.

Dati personali vs. dati sensibili

Le informazioni personali sono tutti i dati che possono essere utilizzati per identificare una persona. Informazioni come nomi, indirizzi o numeri di telefono sono dati personali. In alcuni casi, la tua e-mail può essere considerata un dato personale, ad esempio se è yourname@yourcompany.com. I dati personali possono anche includere informazioni che qualcuno può utilizzare per confermare che ti trovavi in un luogo specifico, come le tue impronte digitali o i filmati di te su una telecamera di sicurezza. 

Le informazioni sensibili sono un sottoinsieme di dati personali che possono essere utilizzati per danneggiare una persona in qualche modo. Il tuo nome è un dato personale, ma il tuo numero di previdenza sociale è un dato sensibile perché un malintenzionato potrebbe usarlo per rubare la tua identità. Non tutti i dati personali sono sensibili. 

Tipi di dati sensibili

In genere, i dati sensibili non sono disponibili al pubblico e appartengono a una delle numerose categorie ad alto rischio. Ecco alcuni esempi di dati personali sensibili: 

Dati finanziari

Le informazioni relative allo stato finanziario di una persona o entità sono considerate dati sensibili. Ciò include: 

• Numeri di conto bancario
• Informazioni sulla carta di credito e di debito
• Cronologia creditizia
• Dichiarazioni fiscali

Le aziende che accettano, elaborano, trasmettono o archiviano informazioni sulle carte di pagamento devono rispettare lo standard PCI DSS (Payment Card Industry Data Security Standard) . Esso impone solide pratiche di gestione della sicurezza per proteggere i dati dei titolari di carta.

Dati Personali

I dati personali, noti anche come Personally Identifiable Information (PII), sono tutte le informazioni che possono essere utilizzate per identificare un individuo specifico. Regolamenti come il  Regolamento generale sulla protezione dei dati dell’UE ( GDPR ) e il  California Consumer Privacy Act ( CCPA ) proteggono i dati personali. Sebbene entrambi i regolamenti proteggano i dati personali, li definiscono in modo leggermente diverso.  

• Il GDPR definisce i “dati personali” come qualsiasi informazione relativa a una persona fisica identificata o identificabile (“interessato”). I dati personali possono essere diretti, come un nome, un numero di identificazione, dati sulla posizione o un identificatore online. Possono anche essere indiretti, come caratteristiche fisiche, informazioni sulla salute o indicatori di identità culturale o sociale.
• Il CCPA ha una definizione molto più ampia di dati personali. Include qualsiasi informazione che identifica, si riferisce a, descrive, fa riferimento, è in grado di essere associata a, o potrebbe ragionevolmente essere collegata, direttamente o indirettamente, a un particolare consumatore o nucleo familiare. 

Il GDPR si applica alle aziende che gestiscono i dati personali di qualsiasi cittadino dell’UE, mentre il CCPA si applica alle aziende che gestiscono i dati di qualsiasi residente dello stato della California. Entrambe le normative prescrivono ampie misure di protezione dei dati che le organizzazioni devono seguire per prevenire accessi non autorizzati o violazioni.

Informazioni sanitarie protette (PHI)

Le informazioni sanitarie protette (PHI) ai sensi dell’Health  Insurance Portability and Accountability Act (HIPAA) si riferiscono a qualsiasi informazione sullo stato di salute, sulla fornitura di assistenza sanitaria o sul pagamento dell’assistenza sanitaria che può essere collegata a un individuo. Include un’ampia gamma di identificatori personali e informazioni sulle condizioni di salute fisica o mentale passate, presenti o future di una persona. 

I fornitori di assistenza sanitaria, i fornitori di assicurazioni, le clearinghouse sanitarie e le loro entità commerciali devono seguire le linee guida HIPAA quando gestiscono i dati dei pazienti. HIPAA include misure rigorose su come PHI può essere utilizzato e divulgato. 

Dati sensibili a rischio

I dati sensibili si verificano in tipi di dati strutturati e non strutturati in varie applicazioni e sistemi di archiviazione. Lo spostamento dei dati è piuttosto limitato all’interno di repository di dati strutturati come un database di SQL Server , il che ti dà un maggiore controllo su come vengono trasmessi e protetti. Tuttavia, i file archiviati in repository non strutturati come condivisioni di file e siti di SharePoint tendono a muoversi più liberamente, rendendo più difficile individuare esattamente dove si trovano. Questi dati nascosti sono più difficili da controllare e proteggere. 

Sebbene il GDPR sia la legge sulla privacy dei dati più ampiamente discussa , oltre  il 70% dei paesi ha emanato normative sulla privacy dei dati . La maggior parte di queste normative condivide un obiettivo comune di protezione dei dati personali sensibili, ma i dettagli variano. Questo mosaico di normative sta costringendo le aziende a prendere il controllo dei propri dati sensibili. Per farlo, devono sapere dove si trovano e quali misure di sicurezza sono state implementate per ridurre l’esposizione dei dati sensibili.

Le aziende possono affrontare gravi conseguenze per non aver protetto i dati sensibili. Ai sensi del GDPR, in particolare la grave mancata conformità può comportare sanzioni di oltre  20 milioni di $ o del 4% del fatturato globale annuo, a seconda di quale valore sia maggiore. Ad oggi, la multa più elevata è stata emessa a Meta, la società madre di Facebook. È stata multata di  1,3 miliardi di $ per non aver protetto adeguatamente i dati sui cittadini dell’UE trasmessi negli Stati Uniti. 

Protezione dei dati sensibili

Per evitare le multe associate alla non conformità, devi trovare e proteggere i tuoi dati sensibili indipendentemente da dove si trovino. Un inventario di classificazione dei dati ti aiuterà a identificare e classificare i dati in base alla loro sensibilità e importanza. Una volta fatto questo, dovrai mantenere un inventario completo di tutti i tuoi asset di dati, incluso dove sono archiviati, chi vi ha accesso e come vengono utilizzati.

Sapere dove sono archiviati i tuoi dati è il primo passo per la conformità, ma dovrai anche assicurarti di avere i controlli giusti in atto per impedire l’accesso non autorizzato. Le aziende devono anche essere consapevoli ed evitare di raccogliere più dati del necessario, oltre a limitare la crescita dei dati rimuovendo i dati non necessari. Non devi proteggere i dati che non raccogli.