Un attacco informatico, una mail inviata al destinatario sbagliato, un furto di credenziali, la perdita di un dispositivo aziendale, l'accesso non autorizzato a dati di clienti o dipendenti: non tutti gli incidenti sono uguali, ma molti possono trasformarsi in un data breach, cioè in una violazione di dati personali.
In questi casi non basta risolvere il problema tecnico. Il GDPR richiede al titolare del trattamento di valutare rapidamente l'accaduto, documentarlo e, quando necessario, notificare la violazione all'Autorità Garante.
Cosa si intende per data breach?
Per data breach si intende una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati personali.
Può trattarsi, ad esempio, di:
- un ransomware che rende indisponibili archivi contenenti dati personali;
- l'invio di documenti a destinatari errati;
- l'accesso abusivo a un gestionale aziendale;
- la perdita di un notebook, smartphone o supporto USB;
- la pubblicazione online di dati riservati;
- l'errore di configurazione di una cartella condivisa o di un servizio cloud.
Perché le prime 72 ore sono decisive?
Quando si verifica un incidente, l'azienda deve capire in tempi molto brevi:
- quali dati sono stati coinvolti e, prima ancora, se si tratta di dati personali; questo è il primo passaggio essenziale, perché gli obblighi previsti dal GDPR si attivano quando la violazione riguarda dati personali;
- se tra i dati coinvolti vi sono categorie particolari di dati, dati giudiziari, dati di minori, credenziali di accesso, dati finanziari o altre informazioni che possono aumentare il rischio per gli interessati;
- quante persone possono essere interessate dalla violazione;
- quali conseguenze potrebbero derivarne, ad esempio furto d'identità, frodi, discriminazioni, perdita di riservatezza, danni economici o reputazionali;
- quali misure sono già state adottate per contenere l'incidente;
- se sussiste l'obbligo di notifica al Garante;
- se occorre informare direttamente anche gli interessati.
Il termine delle 72 ore non deve essere visto come un semplice adempimento formale, ma come il tempo entro il quale l'organizzazione deve dimostrare di avere una gestione consapevole, documentata e tempestiva dell'incidente.
Prima domanda: riguarda davvero dati personali?
La distinzione è fondamentale: un problema tecnico, un guasto o un malfunzionamento non costituiscono automaticamente un data breach ai sensi del GDPR. Occorre prima verificare se l'evento ha comportato una violazione della sicurezza relativa a dati personali. Solo dopo questa verifica si potrà valutare il livello di rischio e decidere se procedere o meno con la notifica al Garante o con la comunicazione agli interessati.
Non tutti gli incidenti vanno notificati, ma tutti vanno valutati
Un errore frequente è pensare che ogni incidente informatico debba essere automaticamente notificato al Garante. In realtà, occorre valutare il rischio per i diritti e le libertà delle persone fisiche.
Anche quando non si procede alla notifica, però, l'evento deve essere analizzato e documentato internamente. Questo consente all'azienda di dimostrare di aver effettuato una valutazione corretta e coerente con il principio di accountability.
Il ruolo dei fornitori e dei responsabili del trattamento
Molti data breach non nascono direttamente dentro l'azienda, ma presso fornitori esterni: software house, consulenti IT, cloud provider, società che gestiscono paghe, marketing, assistenza tecnica o archiviazione documentale.
Per questo è fondamentale che i contratti con i responsabili del trattamento prevedano obblighi chiari in caso di incidente, tempi rapidi di comunicazione, canali di contatto e informazioni minime da trasmettere al titolare.
Un fornitore che comunica tardi o in modo incompleto può mettere l'azienda nella condizione di non riuscire a rispettare correttamente i propri obblighi.
Cosa dovrebbe avere ogni organizzazione
- una procedura interna per la gestione dei data breach;
- un registro degli incidenti e delle valutazioni effettuate;
- un gruppo di referenti interni, anche minimo, con ruoli chiari;
- istruzioni operative per dipendenti e collaboratori;
- contratti aggiornati con i responsabili del trattamento;
- un piano di comunicazione in caso di violazione rilevante;
- verifiche periodiche sulle misure tecniche e organizzative adottate.
La prevenzione non elimina il rischio, ma riduce l'impatto
Nessuna organizzazione può escludere del tutto il rischio di una violazione. Ciò che fa la differenza è arrivare preparati.
Avere una procedura chiara, personale formato, fornitori correttamente contrattualizzati e documentazione aggiornata permette di reagire con maggiore rapidità e di ridurre il rischio di errori, ritardi e responsabilità.