Data breach: le 72 ore che contano

La disciplina delle violazioni di dati personali è la più fraintesa del Regolamento (UE) 2016/679, perché non chiede l'impossibile: chiede di decidere in fretta con informazioni incomplete. Chi aspetta di sapere tutto, notifica in ritardo. Chi notifica troppo, senza valutare, finisce per documentare il panico anziché il governo dell'evento.

Quando c'è una violazione

Una violazione di dati personali è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Riguarda tre dimensioni, spesso insieme: la riservatezza (qualcuno ha visto o portato via dati), l'integrità (i dati sono stati alterati), la disponibilità (i dati non sono più accessibili, per un guasto, un ransomware, un incendio).

Le 72 ore: da dove partono

Il termine decorre dal momento in cui il titolare ne viene a conoscenza. Non serve la certezza assoluta dell'accadimento: basta un grado ragionevole di convinzione che una violazione sia avvenuta. Da lì l'art. 33 impone di notificare al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore, salvo il caso in cui sia improbabile che l'evento comporti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre il termine, devono essere indicati i motivi del ritardo.

Quando i fatti non sono ancora ricostruiti, la notifica può essere completata per fasi: si comunica ciò che si sa, poi si integra. Il punto è che il primo messaggio parta, non che sia definitivo.

Cosa contiene la notifica

• La natura della violazione, con indicazione delle categorie e del numero approssimativo degli interessati e dei record coinvolti.
• Il nome e i recapiti del responsabile della protezione dei dati o di altro punto di contatto.
• Le conseguenze probabili.
• Le misure adottate o proposte per gestire la violazione, comprensive di quelle per mitigarne gli eventuali effetti.

Se a subire l'evento è un soggetto che tratta per conto di altri, il responsabile del trattamento deve informare il titolare senza indugio: è il titolare che decide e che notifica.

Quando avvisare le persone

Se la violazione è suscettibile di presentare un rischio elevato per i diritti delle persone fisiche, la comunicazione agli interessati va fatta senza ingiustificato ritardo, con linguaggio semplice e chiaro, descrivendo la natura della violazione e le misure adottate. La comunicazione non è dovuta se i dati erano protetti da misure adeguate, in particolare la cifratura, se il titolare ha successivamente adottato misure che escludono il rischio elevato, oppure se lo sforzo richiesto sarebbe sproporzionato: in tal caso si ricorre a una comunicazione pubblica o a una misura equivalente.

Il documento che nessuno vuole mostrare

Il Regolamento impone di documentare ogni violazione di dati personali: fatti, effetti, misure correttive. È il registro che l'autorità chiede per ricostruire la sequenza, e la sua assenza pesa quanto una notifica omessa. Va alimentato anche quando non si notifica, perché serve a spiegare il perché di quella scelta.

Come arrivare pronti

1. Una catena di segnalazione che funziona: chi rileva, a chi comunica, entro quanto tempo, con quali canali se i sistemi principali sono inaccessibili.
2. Una griglia di valutazione del rischio, concordata in anticipo con chi decide, per non improvisare la soglia delle 72 ore.
3. Un modello di notifica già impostato e un piano di comunicazione per gli interessati.
4. Contratti in ordine: i tempi che il fornitore deve rispettare devono essere compatibili con i tempi che l'organizzazione deve rispettare.
5. Una prova pratica annuale, con un caso reale e la verifica della documentazione prodotta.

Se l'incidente coinvolge anche reti e sistemi di un soggetto NIS, lo stesso fatto corre su due binari: la notifica al CSIRT Italia con i suoi tempi e quella al Garante entro 72 ore. Le due comunicazioni devono essere coerenti tra loro, perché la loro divergenza viene letta come mancata padronanza dell'evento.

Le 72 ore non misurano la gravità dell'incidente: misurano la qualità dell'organizzazione che lo gestisce.

Se vuoi un piano di risposta agli incidenti pronto all'uso, con la catena di segnalazione e i modelli di comunicazione, scrivi a info@adpo.it o chiama il +39 347 046 6287.