Riconoscere quali eventi richiedono una valutazione
Il GDPR considera violazioni che comportano distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. Non ogni disservizio è automaticamente una violazione notificabile, ma non vanno considerati soltanto gli attacchi informatici. Nel whistleblowing anche un piccolo numero di dati può avere conseguenze rilevanti. L’analisi deve riguardare persone, contenuti, possibilità di identificazione e misure che limitano concretamente l’accesso o l’utilizzo improprio.
Contenere e conservare le informazioni utili
Le prime attività possono includere la revoca di un accesso non autorizzato, il blocco di una condivisione errata e la raccolta delle evidenze necessarie. Devono essere svolte da soggetti competenti, evitando interventi che distruggano informazioni utili alla ricostruzione. Il gestore segnala l’evento al referente previsto dalla procedura; non dovrebbe diffondere il fascicolo a un’intera lista di assistenza. Sono utili data di rilevazione, descrizione iniziale, sistemi coinvolti e misure già adottate.
Distinguere i termini del titolare da quelli del responsabile
L’art. 33 GDPR prevede per il titolare la notifica all’autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per le persone. Il responsabile informa il titolare senza ingiustificato ritardo. Non dispone automaticamente di 72 ore da consumare prima di avvisarlo. Un accordo operativo può precisare contatti e tempi di prima comunicazione, senza attendere che l’indagine tecnica sia definitivamente conclusa.
Valutare la comunicazione alle persone
L’art. 34 disciplina la comunicazione agli interessati in caso di rischio elevato, con le condizioni ed eccezioni previste. La presenza di cifratura va valutata nel concreto: contano dati esposti, protezione effettiva e disponibilità delle chiavi. Non basta la dicitura «database cifrato» per escludere ogni adempimento. Anche la modalità di contatto deve evitare ulteriori rivelazioni, per esempio un oggetto email che renda evidente il ruolo di segnalante su una casella condivisa.
Documentare anche la decisione di non notificare
Il titolare deve documentare le violazioni, le conseguenze e i provvedimenti adottati. Una valutazione che conclude per l’assenza dei presupposti di notifica deve essere motivata e riesaminata se emergono elementi nuovi. Dopo l’incidente, verificare correzioni, autorizzazioni e istruzioni. Un’esercitazione con un caso inventato, come l’invio errato di un allegato, aiuta a scoprire recapiti mancanti e ruoli confusi senza esporre i dati di una pratica reale.
Domande frequenti
Un backup cifrato perso esclude sempre il data breach?
No. Serve valutare il tipo di evento, l’effettiva protezione dei dati e le conseguenze, anche sulla disponibilità.
Bisogna aspettare il rapporto tecnico completo per avvisare il titolare?
No. Le informazioni possono essere integrate progressivamente; il primo avviso deve rispettare l’obbligo di tempestività.
