Data breach e GDPR: le 72 ore e chi deve fare cosa

Un'email con dati sanitari inviata alla persona sbagliata. Un portatile non cifrato rubato in auto. Un ransomware che rende inaccessibile l'archivio dei clienti. Un fornitore che comunica di aver subito un attacco. Sono situazioni molto diverse, ma per il GDPR possono essere tutte violazioni di dati personali, il cosiddetto data breach. E tutte fanno partire un orologio.

Cosa è una violazione

Il Regolamento la definisce come una violazione di sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali. In pratica, riguarda tre aspetti:

• riservatezza: qualcuno che non doveva ha visto o ottenuto i dati;
• integrità: i dati sono stati alterati;
• disponibilità: i dati sono andati persi o non sono accessibili, anche temporaneamente.

Un ransomware senza furto di dati, quindi, può comunque essere una violazione, se blocca l'accesso a informazioni necessarie.

Le 72 ore

Il titolare del trattamento, cioè l'organizzazione, deve notificare la violazione al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

Alcuni punti pratici:

• le 72 ore decorrono da quando si ha una ragionevole certezza che la violazione sia avvenuta, e comprendono fine settimana e festivi;
• se non tutte le informazioni sono disponibili, si può notificare per fasi, integrando in seguito;
• se si supera il termine, la notifica va comunque fatta indicando i motivi del ritardo;
• la notifica si effettua con la procedura telematica sul sito del Garante.

La notifica descrive la natura della violazione, le categorie e il numero approssimativo di persone e di dati coinvolti, i contatti del responsabile della protezione dei dati o di un altro referente, le probabili conseguenze e le misure adottate o previste.

Quando informare le persone

Se la violazione presenta un rischio elevato per le persone, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo e con un linguaggio semplice. Non è necessario, ad esempio, se i dati erano cifrati e quindi incomprensibili per chi li ha ottenuti, o se le misure adottate hanno eliminato il rischio. Il Garante può comunque ordinare la comunicazione.

Il registro delle violazioni

Ogni violazione, anche quella che non si notifica perché il rischio è considerato improbabile, va documentata internamente: cosa è successo, quali effetti ha avuto, cosa si è fatto e perché si è deciso di notificare o meno. In caso di controllo, questo registro dimostra che l'organizzazione ha valutato con serietà.

Chi fa cosa

Le 72 ore sono poche se i ruoli non sono chiari. Prima che succeda, conviene stabilire:

• come si segnala: tutto il personale deve sapere a chi comunicare subito un sospetto, in qualsiasi orario;
• chi valuta: una piccola squadra con chi gestisce la privacy, il responsabile della protezione dei dati se presente, l'assistenza informatica e un rappresentante della direzione;
• chi decide e chi notifica: chi ha l'ultima parola sulla notifica e chi materialmente la invia, con le credenziali di accesso già pronte;
• i fornitori: i responsabili del trattamento devono informare il titolare senza ingiustificato ritardo; i contratti dovrebbero fissare tempi e canali compatibili con le 72 ore.

Coordinarsi con gli altri obblighi

Per le organizzazioni soggette alla NIS2, lo stesso evento può essere anche un incidente significativo da notificare al CSIRT Italia, con tempi propri: preallerta entro 24 ore e notifica entro 72. Possono esserci inoltre obblighi contrattuali o assicurativi. Il piano di risposta agli incidenti dovrebbe tenere insieme tutte queste comunicazioni.

In sintesi

Una violazione di dati non è sempre evitabile. Una gestione disordinata sì. Ruoli chiari, segnalazione immediata e un registro aggiornato trasformano 72 ore di panico in una procedura.