L’esposizione di dati personali consiste nell’esposizione, divulgazione, perdita o accesso non autorizzato a informazioni che identificano una persona o possono essere collegate a essa. Può comportare la copia o la pubblicazione accertata dei dati, ma anche un’esposizione sospetta può richiedere indagini e la gestione dell’incidente. Il numero di record in un database non corrisponde necessariamente al numero di persone interessate, e il solo accesso non autorizzato non dimostra che i dati siano stati sottratti.
L’esposizione è importante perché le informazioni personali possono favorire frodi, phishing, abusi d’identità o altri danni alla privacy e possono comportare obblighi legali o normativi di notifica. I team di sicurezza indagano su quali dati fossero accessibili, conservano i log dei server e della rete e cercano query insolite, letture massive o trasferimenti. Dovrebbero distinguere i fatti accertati dagli elementi ignoti, valutare gli obblighi di segnalazione applicabili e avvisare le persone interessate quando richiesto.