Violazione dei dati: cosa fare nelle prime 72 ore (articoli 33 e 34 del GDPR)

Un portatile smarrito con fascicoli, un’e-mail inviata al destinatario sbagliato, un attacco ransomware o l’account compromesso di un fornitore: sono tutte violazioni di dati personali se incidono sulla riservatezza, sull’integrità o sulla disponibilità di quei dati (art. 4, punto 12, GDPR). Ciò che distingue un incidente gestibile da una sanzione è come reagisci nelle prime ore.

Il termine: 72 ore da quando ne sei venuto a conoscenza

L’articolo 33 obbliga il titolare del trattamento a notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. In Italia l’autorità è il Garante per la protezione dei dati personali, che mette a disposizione una procedura telematica; in Spagna l’AEPD. Se la notifica avviene oltre il termine, deve essere corredata dei motivi del ritardo.

L’unica eccezione è il caso in cui sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Tale conclusione va motivata e messa per iscritto.

Un piano d’azione ora per ora

1. Contieni l’incidente. Isola i sistemi interessati, revoca le credenziali compromesse, interrompi gli accessi e conserva le prove (log, copie dei sistemi) senza alterarle.
2. Allerta internamente. Attiva chi di competenza: direzione, responsabile della sicurezza informatica, responsabile della protezione dei dati se presente e consulenza legale.
3. Raccogli i fatti. Che cosa è successo, quando è stato rilevato, quali sistemi e categorie di dati sono coinvolti e quante persone possono essere interessate (all’inizio basta una stima approssimativa).
4. Valuta il rischio. Misura la gravità delle possibili conseguenze per gli interessati: furto di identità, danni economici o reputazionali, esposizione di categorie particolari di dati…
5. Decidi e documenta. Se c’è un rischio, notifica all’autorità. Se non c’è, annota il ragionamento.
6. Comunica agli interessati quando necessario (vedi sotto).
7. Correggi e impara. Rimuovi la causa all’origine, rivedi le misure dell’articolo 32 e aggiorna il registro delle attività e le procedure.

Che cosa deve contenere la notifica all’autorità (art. 33, par. 3)

• La natura della violazione, con le categorie e il numero approssimativo di interessati e di registrazioni coinvolti.
• Il nome e i dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto.
• Le probabili conseguenze della violazione.
• Le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.

Se non disponi di tutte le informazioni entro il termine, l’articolo 33, paragrafo 4, consente di fornirle in fasi successive senza ulteriore ingiustificato ritardo. Meglio una notifica iniziale incompleta che una completa fuori termine.

Quando comunicare anche agli interessati (art. 34)

Quando la violazione presenta un rischio elevato per i loro diritti e le loro libertà, devi comunicarla senza ingiustificato ritardo, con un linguaggio semplice e chiaro, spiegando che cosa è accaduto, quali conseguenze può avere e che cosa possono fare per proteggersi. Non è obbligatorio se:

• i dati erano cifrati o protetti in modo da risultare incomprensibili a chi vi ha avuto accesso;
• hai adottato misure successive che escludono che il rischio elevato si concretizzi; oppure
• richiederebbe sforzi sproporzionati, nel qual caso si ricorre a una comunicazione pubblica o a una misura analoga.

Se sei un responsabile del trattamento

Il responsabile deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione (art. 33, par. 2). Verifica che i tuoi contratti dell’articolo 28 fissino termini e canali precisi: le 72 ore del titolare decorrono da quando ne ha conoscenza, e ogni ora che il fornitore impiega ad avvisare è un’ora persa.

Documenta ogni violazione, anche quelle lievi

L’articolo 33, paragrafo 5, impone di documentare qualsiasi violazione: fatti, effetti e provvedimenti adottati, così che l’autorità possa verificarli. Un registro degli incidenti ben tenuto è una delle prove di diligenza più solide.

Preparati prima che accada

• Redigi un protocollo di risposta con responsabili, contatti e modelli di notifica.
• Definisci come si rileva e si fa salire di livello un incidente: ogni collaboratore deve sapere chi avvisare e in quanto tempo.
• Fai semplici simulazioni almeno una volta l’anno.
• Mantieni backup isolati, controllo degli accessi e cifratura dei portatili.
• Tieni aggiornati i documenti legali e di contatto. Un gestore centralizzato come LegalCloud aiuta a far sì che informativa e testi riflettano sempre la procedura vigente.

Consulta gli articoli 33 e 34 su EUR-Lex, le linee guida del Comitato europeo per la protezione dei dati sulla notifica delle violazioni su edpb.europa.eu e le informazioni pratiche dell’AEPD. Questo contenuto ha scopo informativo e non costituisce consulenza legale.