Quando si scopre un data breach, le prime 72 ore sono decisive. È questo, infatti, il termine che l’art. 33 del Regolamento (UE) 2016/679 fissa per notificare la violazione al Garante, quando presenta un rischio per le persone. Il tempo decorre da quando il titolare ne viene a conoscenza, non da quando l’indagine tecnica è conclusa. Per questo serve sapere in anticipo cosa fare, ora dopo ora.

Le prime ore: contenere e raccogliere i fatti

Il primo obiettivo è fermare l’evento. Si isolano i sistemi coinvolti, si bloccano le credenziali compromesse e si mettono al sicuro i log. Allo stesso tempo, chi gestisce l’incidente annota cosa è successo, quando e chi se n’è accorto. Queste informazioni serviranno sia per la notifica sia per il registro delle violazioni.

Entro le 72 ore: valutare il rischio per gli interessati

Non ogni violazione va notificata. Tuttavia la decisione deve essere motivata e documentata. Occorre capire quali dati sono coinvolti, quante persone, se i dati erano cifrati e quali conseguenze possono esserci. Se il rischio è improbabile, basta registrare la valutazione. Se invece esiste un rischio, la notifica al Garante va inviata entro 72 ore, anche in forma incompleta e da integrare in seguito. Se la notifica arriva oltre le 72 ore, deve indicare anche i motivi del ritardo.

Quando avvisare anche le persone coinvolte

Se il rischio per i diritti e le libertà è elevato, l’art. 34 chiede di comunicare la violazione anche agli interessati, senza ingiustificato ritardo. Il messaggio deve essere chiaro: cosa è successo, quali dati sono coinvolti e cosa possono fare per proteggersi. Una comunicazione confusa, al contrario, aumenta il danno reputazionale.

Gli errori che bruciano le 72 ore

Gli errori ricorrenti sono sempre gli stessi. Nessuno sa chi deve decidere. Il fornitore IT non avvisa subito il titolare. Le prove vengono cancellate durante il ripristino. Inoltre, spesso manca un modello di notifica già pronto. Per questo motivo una procedura scritta e una simulazione annuale fanno davvero la differenza.

Dopo l’emergenza: registro e miglioramento

Ogni violazione, anche se non notificata, va annotata nel registro interno previsto dall’art. 33, par. 5. Successivamente conviene analizzare le cause e aggiornare misure, formazione e, se serve, la DPIA dei trattamenti coinvolti. In questo modo l’incidente diventa un’occasione per rafforzare l’intero sistema privacy.

FAQ – Domande frequenti sul data breach

Entro quanto tempo va notificato un data breach al Garante?

Entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone (art. 33, par. 1, GDPR). Se la notifica non avviene entro tale termine, deve essere accompagnata dai motivi del ritardo.

Ogni violazione dei dati personali va notificata?

No. Se è improbabile che la violazione comporti un rischio per le persone, la notifica non è dovuta. La valutazione va però motivata e ogni violazione, notificata o meno, va documentata nel registro interno (art. 33, par. 5, GDPR).

Quando occorre informare anche gli interessati?

Quando la violazione può comportare un rischio elevato per i diritti e le libertà delle persone, la comunicazione va fatta senza ingiustificato ritardo (art. 34 GDPR). Non è richiesta, tra gli altri casi, se i dati erano resi incomprensibili a chi non è autorizzato ad accedervi, per esempio tramite cifratura.

Che cosa deve fare il fornitore che tratta i dati per conto dell’azienda?

Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo, dopo essere venuto a conoscenza della violazione (art. 33, par. 2, GDPR). Per questo motivo il contratto di nomina dovrebbe indicare tempi e modalità di segnalazione.

Il supporto di MODI S.R.L.

MODI S.R.L. prepara con le aziende la procedura di gestione dei data breach, i modelli di notifica e la formazione di chi deve intervenire. Inoltre, come DPO esterno, può affiancare il titolare nella valutazione del rischio proprio durante le 72 ore.

Per una proposta personalizzata o un incontro conoscitivo con i consulenti MODI S.R.L. (sedi a Mestre e Spinea): compila il modulo di contatto.

Numero Verde: 800 300 333
Email: modi@modiq.it
Chat attiva sul sito: www.modiq.it
WhatsApp: 041 5412700

Per approfondimenti a disposizione i siti internet di proprietà di MODI®:

🌍 www.mog231.it 🌍 www.modiq.it 🌍 www.consulenzasicurezzaveneto.it 🌍 www.corsionlineitalia.it 🌍 www.consulenzaprivacyregolamentoue679.it 🌍 www.consulenzacertificazioneiso37001.it

A cura di MODI SRL – Società di consulenza e formazione. Responsabile editoriale: Francesca Quintavalle, referente del servizio Clienti numero verde 800300333. Risponde alle domande più frequenti sui Sistemi di Gestione per la Sicurezza, Qualità, Ambiente e Privacy.
Dal 1998 MODI SRL