Parlare di incidenti informatici usando le parole giuste significa descrivere correttamente ciò che è accaduto, capire il livello di esposizione del rischio e adottare la risposta più adeguata. Nel dibattito su sicurezza e privacy, “data breach” e “data leak” vengono talvolta trattati come sinonimi, ma in realtà indicano fenomeni diversi.
Il termine data breach ha un significato ampio. Nel quadro del GDPR, corrisponde a qualsiasi violazione della sicurezza che provochi, in modo accidentale o illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. Dentro questa definizione rientrano scenari anche molto diversi tra loro:
 | Un attacco ransomware che blocca i sistemi; |
 | Una cancellazione involontaria di informazioni o archivi; |
 | Una manomissione dei dati contenuti in un gestionale; |
 | La copia abusiva di informazioni da parte di un soggetto non autorizzato. |
Il punto centrale è che non si parla solo di sottrazione dei dati, ma di qualunque compromissione delle loro proprietà fondamentali: riservatezza, integrità e disponibilità.
Il data leak, invece, riguarda soprattutto la riservatezza. Si verifica quando dati o informazioni vengono esposti verso destinatari non autorizzati, senza che necessariamente ci sia stata una violazione complessa o un attacco mirato. Può accadere per errore umano, configurazioni sbagliate, permessi troppo ampi, una condivisione pubblica non voluta o l’invio di una comunicazione al soggetto errato. In questo caso i dati possono anche restare intatti e disponibili per chi li gestisce, ma sono comunque finiti fuori dal perimetro di controllo privacy.
Quindi, un data leak costituisce sempre un data breach, perché implica una violazione della riservatezza. Il contrario, però, non è vero: un breach può colpire soltanto la disponibilità o l’integrità dei dati, senza alcuna fuga verso l’esterno.
Questa distinzione ha un peso pratico nella valutazione del rischio privacy in azienda: determina come vengono analizzati gli incidenti e quali misure vengono adottate per farvi fronte.
Ricordiamo che sul piano operativo, poi, classificare bene l’evento significa anche:
Mentre una lettura approssimativa dell’incidente può portare a risposte tardive o incoerenti, con ricadute sia reputazionali sia giuridiche.
In conclusione, data leak e data breach non sono due etichette intercambiabili. Il primo è una forma di esposizione dei dati, il secondo è la categoria più ampia che comprende ogni violazione della sicurezza. Distinguere i due concetti significa gestire meglio il rischio, rispettare il GDPR e rispondere agli incidenti con lucidità e precisione.
