Data breach GDPR: cosa fare nelle prime 72 ore e come evitare le sanzioni del Garante

Data breach GDPR: cosa fare nelle prime 72 ore e come evitare le sanzioni del Garante

La scena è questa: hai appena scoperto che i dati dei tuoi clienti sono stati compromessi. Forse è partita un’email al destinatario sbagliato, forse il tuo gestionale ha subito un accesso non autorizzato. Oltre al fastidio della pessima figura, il tuo pensiero corre già alle possibili sanzioni. Che fare ora? Sono ancora in tempo per evitarla?

Prima di entrare nel dettaglio, vogliamo tranquillizzarti: il GDPR ti lascia 72 ore per decidere se e come notificare la violazione al Garante per la Protezione dei Dati Personali. Non sono molte, certo, ma ti danno comunque tempo di correre ai ripari. Meglio farlo subito, però: una mancata notifica, o una segnalazione in ritardo senza valida giustificazione può costarti fino a 10 milioni di euro.

In questo articolo vediamo cos’è un data breach secondo il GDPR, quando sei obbligato a notificarlo, come farlo correttamente e come prepararti prima che accada.

Cos’è un data breach secondo il GDPR

Prima di passare alla parte operativa, è necessario comprendere di cosa stiamo parlando. Il termine “data breach” viene spesso usato per indicare qualsiasi problema legato ai dati, ma la definizione del GDPR è più precisa.

L’art. 4, n. 12 del Regolamento UE 2016/679 definisce il data breach come una “violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. In altre parole, qualsiasi evento che mette a rischio la sicurezza dei dati personali che gestisci.

Le violazioni si dividono in tre categorie:

1. Violazione della riservatezza: i dati personali vengono divulgati o resi accessibili a soggetti non autorizzati.

2. Violazione dell’integrità: i dati vengono modificati in modo non autorizzato o accidentale.

3. Violazione della disponibilità: i dati vengono persi o resi inaccessibili, anche temporaneamente.

Nella pratica quotidiana, possono rappresentare delle forme di violazione:

• Un’email con allegati contenenti dati di clienti inviata al destinatario sbagliato;

• Un laptop aziendale rubato o smarrito, anche se protetto da password;

• Un attacco ransomware che blocca l’accesso ai tuoi archivi;

• Un accesso non autorizzato al gestionale da parte di un ex collaboratore;

• La cancellazione accidentale di un database di contatti senza backup recente.

Presta attenzione: il data breach non riguarda solo gli attacchi informatici! Un errore umano, una distrazione, un processo interno mal configurato possono generare una violazione esattamente come un attacco esterno.

Non tutti i data breach vanno notificati: come capire quando scatta l’obbligo di segnalazione

Scoprire un data breach non significa automaticamente dover chiamare il Garante. Il GDPR distingue tra violazioni che richiedono notifica e violazioni che possono essere gestite internamente. Il discrimine è uno solo: il rischio per i diritti e le libertà delle persone fisiche coinvolte.

Se la violazione non comporta alcun rischio apprezzabile per gli interessati, non sei obbligato a notificarla al Garante. Sei però sempre obbligato a documentarla nel registro interno delle violazioni, indipendentemente da qualsiasi altra valutazione. Per aiutarti a capire il livello di rischio, ecco alcuni scenari tipici:

• Rischio basso (notifica al Garante generalmente non richiesta): laptop rubato con hard disk cifrato e dati inaccessibili, email inviata a una persona sbagliata ma prontamente eliminata senza apertura, documento cartaceo smarrito contenente solo dati di contatto generici.

• Rischio medio-alto (valutazione caso per caso): accesso non autorizzato al sistema da parte di un ex dipendente, perdita di un archivio con nomi, indirizzi e dati fiscali di clienti, invio accidentale di una mailing list a destinatari esterni.

• Rischio elevato (notifica quasi sempre obbligatoria): esposizione di dati sanitari, biometrici o relativi a minori, ransomware su sistemi con dati non cifrati e senza backup recente, furto di credenziali di accesso in chiaro.

E se non so chi ha avuto accesso ai dati, devo comunque notificare? In questo caso la risposta è quasi sempre affermativa. L’incertezza sull’accesso non equivale all’assenza di rischio, ed è proprio in questi scenari che il Garante si aspetta di essere informato.

Le 72 ore: la finestra che non puoi ignorare (art. 33 GDPR)

L’art. 33 del GDPR stabilisce che, in caso di violazione che comporta un rischio per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve notificare la violazione all’autorità di controllo entro 72 ore dal momento in cui ne viene a conoscenza. 

Il punto di partenza del conteggio è rilevante: non da quando si è verificata la violazione, ma da quando tu, come titolare, ne sei venuto a conoscenza. Questo significa che il momento in cui un dipendente ti segnala un problema, o in cui te ne accorgi da solo, segna l’avvio del termine. La notifica va inviata al Garante per la Protezione dei Dati Personali attraverso il portale dedicato sul sito ufficiale del Garante. Il contenuto minimo previsto dal Regolamento comprende:

• La natura della violazione (quante persone, quali categorie di dati, quanti record coinvolti);

• Nome e dati di contatto del responsabile della protezione dei dati (DPO), se nominato;

• Le probabili conseguenze della violazione;

• Le misure adottate o proposte per affrontare la violazione e, se del caso, attenuarne i possibili effetti negativi.

E se le 72 ore non bastano? Il GDPR prevede la possibilità di una notifica in fasi successive. Se non hai ancora tutte le informazioni, puoi inviare una notifica parziale entro il termine, specificando che le informazioni verranno integrate non appena disponibili. È molto meglio notificare in modo incompleto ma tempestivo che aspettare di avere il quadro completo.

Quando devi avvisare anche gli interessati (art. 34 GDPR)

Notificare al Garante e comunicare agli interessati sono due obblighi distinti e non sempre sovrapposti. L’art. 34 del GDPR prevede che, quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare debba comunicarla anche direttamente agli interessati.

La soglia, quindi, è più alta rispetto a quella che scatta per la notifica al Garante. Ci vuole un rischio elevato, non semplicemente un rischio apprezzabile. In pratica, questo accade soprattutto quando:

• Sono coinvolti dati particolari (sanitari, biometrici, relativi a condanne penali, orientamento sessuale, ecc.);

• La violazione può esporre gli interessati a furti d’identità o frodi;

• Sono coinvolti minori o soggetti in condizioni di particolare vulnerabilità.

Esistono tuttavia tre esenzioni dall’obbligo di comunicazione diretta agli interessati:

• Hai implementato misure di protezione adeguate (ad esempio la cifratura dei dati) che rendono i dati incomprensibili;

• Hai adottato misure successive alla violazione che eliminano sostanzialmente il rischio elevato;

• La comunicazione individuale richiederebbe uno sforzo sproporzionato; in questo caso, è sufficiente una comunicazione pubblica.

Comunicare agli interessati per precauzione, anche quando non sei obbligato, può rivelarsi controproducente. Amplifica la percezione del problema, genera preoccupazione non necessaria e può danneggiare la reputazione senza che ci sia una ragione effettiva. La comunicazione agli interessati va valutata con attenzione, non eseguita per automatismo.

Il piano d’azione step by step: cosa fare dal minuto zero

Quando si verifica una violazione, il rischio più grande non è tanto l’incidente, quanto la confusione che segue. Avere un piano d’azione chiaro fa la differenza tra un contenimento efficace del danno e una situazione che peggiora rapidamente:

1. Prima di qualsiasi altra cosa, limita il danno. Isola i sistemi compromessi, blocca gli accessi non autorizzati, revoca le credenziali esposte. Non cancellare nulla: avrai bisogno di ogni elemento per ricostruire cosa è successo.

2. Valuta la natura e la portata della violazione. Quali dati sono stati coinvolti? Di quante persone? Quale categoria (dati di contatto, dati sanitari, dati finanziari)? L’accesso è stato confermato o solo possibile? Queste risposte determinano i passi successivi.

3. Documenta tutto immediatamente nel registro interno delle violazioni. Indipendentemente da ciò che deciderai di fare, la documentazione è obbligatoria. Annota data, ora, tipo di violazione, dati coinvolti, misure adottate e soggetti responsabili.

4. Valuta l’obbligo di notifica al Garante. Sulla base della natura e della portata della violazione, stabilisci se sussiste un rischio per i diritti e le libertà degli interessati che imponga la notifica.

5. Se necessario, notifica entro 72 ore. Usa il portale del Garante. Se non hai ancora tutte le informazioni, invia una notifica parziale e integrala successivamente.

6. Valuta se avvisare anche gli interessati. Se il rischio è elevato e non sussistono le condizioni di esenzione, comunica la violazione alle persone coinvolte in modo chiaro e tempestivo.

7. Analizza le cause e adotta misure correttive. Cosa ha reso possibile la violazione? Quali misure tecniche o organizzative devono essere modificate? Questa fase è fondamentale non solo per evitare recidive, ma anche per dimostrare accountability in caso di ispezione.

Come prepararsi prima che accada: la prevenzione consulenziale

La gestione di un data breach è molto più semplice, e molto meno rischiosa, quando l’organizzazione è già preparata. Per questo è importante lavorare in anticipo su alcuni aspetti fondamentali:

• Registro dei trattamenti: sapere quali dati gestisci, dove si trovano e chi può accedervi è il primo passo per valutare correttamente la portata di una violazione.

• Misure tecniche e organizzative: cifratura dei dati, autenticazione a due fattori, politiche di accesso differenziate e backup regolari sono tutte misure che riducono sia la probabilità che la gravità di un incidente.

• Piano di risposta agli incidenti: avere una procedura interna chiara permette di sapere subito chi deve fare cosa, quali passaggi seguire, chi contattare e dove recuperare le informazioni necessarie per l’eventuale notifica.

• Formazione del personale: molti data breach nascono da un errore umano. Per questo è essenziale che il personale sappia riconoscere un possibile incidente, segnalarlo correttamente e, soprattutto, evitare azioni impulsive che potrebbero peggiorare la situazione.

GDPR Pratico: consulenza tecnica per data breach

Hai individuato un data breach e non sai come gestirlo? Oppure vuoi metterti in regola per evitare incidenti? Una consulenza GDPR mirata ti aiuta a individuare i punti di esposizione, rafforzare i processi interni e ridurre il rischio che una criticità si trasformi in un problema serio, anche sotto il profilo sanzionatorio. Per saperne di più o richiedere un preventivo senza impegno, compila il modulo e contattaci.

FAQ: data breach e GDPR

1. Cos’è un data breach GDPR?

Il data breach GDPR è qualsiasi violazione della sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali. Non riguarda solo gli attacchi informatici: anche un errore umano, come un’email inviata al destinatario sbagliato, può configurare una violazione.

2. Entro quanto tempo va notificato un data breach?

Il GDPR prevede un termine di 72 ore dalla conoscenza della violazione per notificarla all’autorità di controllo competente — in Italia, il Garante per la Protezione dei Dati Personali. Il termine decorre dal momento in cui il titolare del trattamento viene a conoscenza dell’incidente, non da quando si è verificato.

3. Come si notifica un data breach al Garante?

La notifica si effettua tramite il portale dedicato sul sito ufficiale del Garante. È necessario indicare la natura della violazione, le categorie e il numero approssimativo di dati e interessati coinvolti, le probabili conseguenze e le misure adottate o in programma. Se non si dispone di tutte le informazioni entro 72 ore, è possibile inviare una notifica parziale e integrarla successivamente.

4. Cosa succede se non notifichi un data breach entro 72 ore?

La mancata o tardiva notifica di un data breach può comportare sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, a seconda di quale importo sia più elevato. Il Garante può tenere conto della tempestività e della cooperazione del titolare nel determinare l’entità della sanzione.

5. Ogni data breach va comunicato agli interessati?

No. La comunicazione agli interessati è obbligatoria solo quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà. Se i dati erano cifrati, se sono state adottate misure che neutralizzano il rischio o se la comunicazione individuale richiederebbe uno sforzo sproporzionato, l’obbligo può non sussistere o essere sostituito da una comunicazione pubblica.