Data breach: l'obbligo di notifica entro 72 ore

Un attacco ransomware alle 2 di notte, una mail di phishing andata a buon fine, un dipendente che perde un laptop: nessuna organizzazione è immune dai data breach. Quello che distingue una crisi gestita da una catastrofe sanzionatoria è la rapidità di reazione nelle prime 72 ore. Il GDPR non perdona ritardi e il Garante italiano è tra i più attivi d'Europa nel sanzionare la gestione tardiva delle violazioni.

Cos'è un data breach

L'art. 4 GDPR definisce il data breach come "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati". Riguarda quindi sia attacchi dolosi (hacking, esfiltrazione) sia eventi accidentali (smarrimento, errore di invio, malfunzionamento).

L'obbligo di notifica al Garante

L'art. 33 GDPR impone al titolare del trattamento di notificare la violazione al Garante entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Le 72 ore decorrono dal momento in cui il titolare acquisisce ragionevole certezza della violazione, non dal momento dell'attacco.

Cosa contiene la notifica

Natura della violazione (tipo di evento, dati coinvolti, durata); categorie e numero approssimativo di interessati e di record; nome e contatti del DPO o del referente; conseguenze probabili della violazione; misure adottate o proposte per porvi rimedio e attenuarne gli effetti.

La notifica può essere effettuata in fasi

Se non hai tutte le informazioni entro 72 ore, puoi inviare una notifica iniziale e completarla in fasi successive (art. 33.4 GDPR). L'importante è rispettare il termine iniziale con i dati disponibili: meglio una notifica incompleta che una tardiva.

Comunicazione agli interessati

Se il rischio è elevato per i diritti e le libertà (es. furto di credenziali bancarie, dati sanitari, documenti d'identità), va notificata anche agli interessati con linguaggio semplice e chiaro, senza ritardi ingiustificati. La comunicazione non è dovuta se i dati sono cifrati con misure adeguate, se il rischio è stato attenuato successivamente o se richiederebbe sforzi sproporzionati.

Il registro delle violazioni

Indipendentemente dalla notifica, l'art. 33.5 impone di documentare qualsiasi violazione in un registro interno: data, categorie e numero di interessati, conseguenze, azioni intraprese. È uno strumento essenziale anche in caso di ispezione del Garante.

Sanzioni

Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (il maggiore dei due) per violazioni dell'art. 33; fino a 20 milioni o 4% per violazioni dei principi generali. Il Garante valuta tempestività della reazione, cooperazione, misure tecniche e organizzative adottate, gravità del danno per gli interessati.

Il piano di risposta

Ogni titolare dovrebbe avere un Incident Response Plan documentato che individua: ruoli e responsabilità (DPO, IT, comunicazione, legale, vertice aziendale); soglie di gravità e procedure di escalation; canali di notifica predisposti al Garante e agli interessati; checklist forensi per preservare le evidenze; modelli di comunicazione esterna; procedure di lessons learned post-evento.

Le prime 8 ore: la golden window

Le prime ore dopo la scoperta sono decisive. Attiva il piano di crisi; isola i sistemi compromessi senza spegnerli (preserva la memoria volatile); coinvolgi subito il DPO e il legale; ingaggia un team forense esterno se necessario; documenta tutto in tempo reale; valuta la natura dei dati esposti per stimare il rischio agli interessati. Solo a questo punto avrai elementi sufficienti per impostare la notifica.