Data breach: cosa fare nelle prime 72 ore

Un accesso non autorizzato al gestionale clienti, una chiavetta USB smarrita, un attacco ransomware che blocca i server: quando in azienda si scopre una violazione di dati personali, il titolare del trattamento ha un termine preciso per muoversi. Secondo la pagina dedicata del Garante per la protezione dei dati personali, il titolare del trattamento senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Cos'è un data breach

Il Garante definisce la violazione come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trattati. Gli esempi indicati dall'Autorità comprendono l'accesso o l'acquisizione dei dati da parte di terzi non autorizzati, il furto o la perdita di dispositivi informatici, l'alterazione deliberata di dati, l'impossibilità di accedervi per attacchi informatici o malware, la perdita per incendi o calamità e la divulgazione non autorizzata.

Non tutte le violazioni vanno notificate: secondo il Garante vanno segnalate unicamente quelle che possono avere effetti avversi significativi sugli individui, come la perdita del controllo sui propri dati, il furto d'identità, il rischio di frode, la perdita di riservatezza di dati coperti da segreto professionale, una perdita finanziaria o un danno alla reputazione.

Le prime azioni, prima della notifica

Prima di compilare la notifica, l'azienda deve:

contenere l'incidente (isolare i sistemi compromessi, bloccare l'accesso non autorizzato);
accertare quali categorie di dati e quanti interessati sono coinvolti;
valutare il rischio per i diritti e le libertà delle persone, eventualmente con lo strumento di autovalutazione messo a disposizione dal Garante;
coinvolgere il responsabile del trattamento, se presente: il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi;
documentare l'accaduto, perché il titolare del trattamento, a prescindere dalla notifica al Garante, documenta tutte le violazioni dei dati personali, ad esempio predisponendo un apposito registro, utile anche in caso di controlli successivi.

Come e a chi notificare

Dal 1° luglio 2021 la notifica deve essere inviata al Garante tramite un'apposita procedura telematica, resa disponibile nel portale dei servizi online dell'Autorità, e raggiungibile all'indirizzo https://servizi.gpdp.it/databreach/s/. Sulla stessa pagina è disponibile un modello facsimile, utile solo per vedere in anteprima i contenuti da comunicare ma non utilizzabile per l'invio effettivo. A firmare è il titolare del trattamento o, se nominato, il DPO per suo conto.

Se il termine delle 72 ore non viene rispettato, la notifica resta dovuta ma le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo.

Quando avvisare anche gli interessati

Oltre al Garante, in certi casi va informato anche chi ha subito la violazione: se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l'impatto.

Le sanzioni per chi non notifica

L'omessa o tardiva notifica espone l'azienda a conseguenze pesanti. Il Garante ricorda che sono previste sanzioni pecuniarie che possono arrivare fino a 10 milioni di Euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale, come previsto dall'articolo 83, paragrafo 4, del GDPR per le violazioni degli obblighi del titolare, inclusi quelli sulla gestione del data breach.

Informazioni pratiche

Termine: entro 72 ore dalla scoperta, salvo rischio improbabile per gli interessati.
Dove notificare: procedura telematica su servizi.gpdp.it/databreach/s/.
Chi firma: il titolare del trattamento, o il DPO se nominato.
Sanzione massima: 10 milioni di euro o 2% del fatturato mondiale annuo (art. 83 par. 4 GDPR).
Strumenti utili: self assessment del Garante per valutare il rischio e le azioni da intraprendere.