Cos'è davvero un data breach
Data breach fa pensare all'archivio clienti rubato e messo in vendita. Il GDPR usa una definizione più ampia: la violazione dei dati personali è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali (art. 4, punto 12).
In pratica rientrano molte situazioni che in azienda nessuno chiama così:
- un ransomware cifra il gestionale con le anagrafiche dei clienti: nessuno ha copiato nulla, ma i dati non sono più disponibili;
- il commerciale perde in treno il portatile non cifrato;
- l'ufficio del personale manda i cedolini di un reparto al destinatario sbagliato;
- un collega consulta dati a cui il suo ruolo non dovrebbe dargli accesso.
Cosa chiede il GDPR, articolo per articolo
Gli obblighi sono quattro, e non scattano tutti insieme.
| Obbligo | Quando | Riferimento |
|---|---|---|
| Documentare la violazione | Sempre, anche quando non va notificata: circostanze, conseguenze e provvedimenti adottati | Art. 33, par. 5 |
| Notificare al Garante | Senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone | Art. 33, par. 1 |
| Comunicare agli interessati | Quando la violazione può presentare un rischio elevato per le persone, salvo le eccezioni previste | Art. 34 |
| Avvisare il titolare | Tocca al fornitore che tratta i dati per tuo conto (il responsabile del trattamento), senza ingiustificato ritardo da quando ne viene a conoscenza | Art. 33, par. 2 |
Tre dettagli contano più di quanto sembri. Le 72 ore partono da quando il titolare è venuto a conoscenza della violazione, non da quando è avvenuta. Se le informazioni non sono tutte disponibili subito, la notifica si può fare per fasi. E se si notifica oltre le 72 ore, va spiegato il motivo del ritardo. In Italia l'autorità è il Garante per la protezione dei dati personali, che mette a disposizione sul proprio sito una procedura telematica per la notifica.
La comunicazione agli interessati non è dovuta, tra l'altro, se i dati erano resi incomprensibili a chi non è autorizzato, per esempio con la cifratura: il portatile perso con il disco cifrato è un caso molto diverso da quello senza.
Lo stesso incidente può dover essere notificato anche al CSIRT Italia, con tempi propri: un obbligo distinto, da gestire in parallelo. Lo trovi nella guida sulla NIS2 per le PMI.
Le prime 72 ore, passo per passo
- Contenere: bloccare l'account compromesso, isolare i sistemi colpiti, chiedere al destinatario sbagliato di cancellare la mail. Se l'attacco è in corso, la sequenza è quella della guida sulle prime ore di un attacco ransomware.
- Capire cosa è successo: quali sistemi, quali dati, quante persone, da quando. Dati sanitari o economici pesano diversamente da un elenco di email aziendali.
- Valutare il rischio per le persone, non per l'azienda: frodi, furto d'identità, informazioni riservate finite in mani sbagliate.
- Decidere su notifica e comunicazione: salvo che il rischio per le persone sia improbabile, si notifica al Garante; se è elevato si informano anche gli interessati. Decide il titolare, sentito il DPO se nominato.
- Documentare nel registro fatti, valutazioni e scelte, compresa la motivazione quando si decide di non notificare.
- la natura della violazione, con le categorie e il numero approssimativo di interessati e di registrazioni coinvolte;
- il nome e i contatti del DPO o di un altro punto di contatto;
- le probabili conseguenze della violazione;
- le misure adottate o proposte per porvi rimedio e per attenuarne gli effetti.
“Approssimativo” è la parola da ricordare: non serve il conteggio esatto.
Chi deve essere al tavolo
- Il titolare, cioè l'azienda nella persona di chi la rappresenta: decide e ne risponde.
- Il DPO, se presente: dà il proprio parere ed è il punto di contatto indicato nella notifica.
- L'IT interno o il fornitore IT: ricostruisce i fatti tecnici e mette in sicurezza i sistemi.
- Il legale: contratti, comunicazione verso l'esterno, eventuali denunce.
- I fornitori che trattano i dati: il gestionale in cloud, il consulente paghe. Se la violazione è nei loro sistemi, le informazioni arrivano da loro.
Gli errori più frequenti
- Pensare che senza furto non ci sia violazione. Dati cifrati da un ransomware o cancellati per errore sono una perdita di disponibilità.
- Aspettare di sapere tutto. Le 72 ore passano mentre si cerca la certezza; per questo esiste la notifica per fasi.
- Non registrare ciò che non si notifica. Nel registro vanno tutte le violazioni.
- Scoprirlo dal fornitore settimane dopo. Senza un avviso tempestivo previsto dal contratto, i tempi li detta lui.
Prepararsi prima che succeda
- esiste una procedura scritta che dice chi fa cosa quando si sospetta una violazione;
- i ruoli hanno un nome, un sostituto e un telefono raggiungibile nel fine settimana;
- c'è un modello di registro delle violazioni, pronto da compilare;
- so dove stanno i dati personali più delicati e quali fornitori li trattano;
- i contratti con i fornitori che trattano dati per mio conto prevedono l'avviso tempestivo in caso di violazione;
- portatili e supporti rimovibili sono cifrati.
In sintesi
Per il GDPR è una violazione anche un ransomware che rende i dati indisponibili o una mail all'indirizzo sbagliato. Ogni violazione va registrata; salvo che il rischio per le persone sia improbabile, si notifica al Garante entro 72 ore dalla conoscenza, anche per fasi, e se il rischio è elevato si informano gli interessati. Procedura, ruoli e contratti con i fornitori si preparano prima.