Se subisci un data breach devi contenerlo, valutare il rischio per le persone e, se il rischio non è improbabile, notificarlo al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne sei venuto a conoscenza. Se il rischio è elevato devi avvisare anche gli interessati. In ogni caso la violazione va scritta nel registro interno, anche quando non la notifichi.
Le 72 ore passano in fretta, soprattutto se l'incidente arriva di venerdì sera e nessuno sa chi deve decidere. Questa guida mette in fila gli obblighi del GDPR, quello che chiede la procedura del Garante e, per chi rientra nella NIS2, la notifica parallela al CSIRT Italia. Alla fine trovi una timeline ora per ora e gli errori che vediamo più spesso.
Cos'è un data breach secondo il GDPR
L'articolo 4, punto 12, del GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Nel glossario trovi la definizione in breve.
Due cose contano. La prima: non serve un attacco. Un'email con un allegato inviata al destinatario sbagliato o un portatile non cifrato dimenticato in treno sono data breach a tutti gli effetti. La seconda: non ogni incidente di sicurezza è un data breach. Se un attacco blocca un server che non contiene dati personali, hai un incidente informatico ma non una violazione ai sensi del GDPR.
Le linee guida europee classificano le violazioni secondo il principio di sicurezza colpito. Una violazione può riguardarne più di uno insieme:
| Tipo di violazione | Cosa succede | Esempio |
|---|---|---|
| Di riservatezza | Dati divulgati o consultati da chi non doveva | Casella email compromessa, file condiviso con un link pubblico |
| Di integrità | Dati modificati senza autorizzazione | IBAN dei fornitori alterato in anagrafica da chi ha violato un account |
| Di disponibilità | Dati persi o non accessibili, anche temporaneamente | Un ransomware cifra il gestionale e i backup non sono utilizzabili |
Quando partono le 72 ore
Il termine decorre dal momento in cui il titolare del trattamento è venuto a conoscenza della violazione. Secondo le linee guida del Comitato europeo per la protezione dei dati (EDPB), questo accade quando il titolare ha un ragionevole grado di certezza che si sia verificato un incidente di sicurezza che ha compromesso dati personali. Un primo, breve periodo di indagine per capire se c'è davvero una violazione è ammesso. Non lo è rimandare l'indagine per non far partire il conteggio.
Se la violazione avviene presso un fornitore che tratta dati per conto tuo, cioè un responsabile del trattamento, l'articolo 33.2 gli impone di informarti senza ingiustificato ritardo dopo esserne venuto a conoscenza. Per l'EDPB il titolare si considera a conoscenza quando il responsabile lo ha informato. Per questo il contratto con i fornitori deve dire come e in quanto tempo ti avvisano: è uno dei punti da verificare nella qualifica dei fornitori.
La notifica al Garante: cosa chiede l'articolo 33
L'articolo 33 chiede di notificare la violazione all'autorità di controllo competente, per l'Italia il Garante per la protezione dei dati personali, senza ingiustificato ritardo e, ove possibile, entro 72 ore. Se la notifica arriva dopo le 72 ore, va accompagnata dai motivi del ritardo.
Dal 1° luglio 2021 la notifica al Garante si invia esclusivamente tramite l'apposita procedura telematica disponibile nel portale dei servizi online dell'Autorità. Sulla pagina del Garante dedicata al data breach trovi il collegamento alla procedura e uno strumento di autovalutazione che aiuta a capire quali azioni intraprendere dopo una violazione.
Il contenuto minimo della notifica è fissato dall'articolo 33.3:
- La natura della violazione, con le categorie e il numero approssimativo di interessati e di registrazioni coinvolte
- Il nome e i contatti del responsabile della protezione dei dati (DPO) o di un altro punto di contatto
- Le probabili conseguenze della violazione
- Le misure adottate o proposte per porvi rimedio e, se serve, per attenuarne gli effetti
Non devi avere tutte le risposte entro 72 ore. L'articolo 33.4 consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo, quando non è possibile darle tutte insieme. Una prima notifica completa per quanto sai, seguita da integrazioni, è meglio di una notifica perfetta e tardiva.
Quando non serve notificare al Garante
La notifica non è dovuta quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. La valutazione considera il tipo e la quantità di dati, la facilità di identificare le persone, la gravità delle conseguenze, il numero di interessati e la loro eventuale vulnerabilità.
Esempi in cui il rischio può risultare improbabile: dati già resi pubblici legittimamente, oppure un supporto smarrito con dati cifrati in modo robusto la cui chiave non è stata compromessa e di cui esiste una copia di backup. Attenzione all'ultimo dettaglio: la cifratura protegge la riservatezza, ma se i dati esistevano solo lì hai comunque perso la disponibilità.
La decisione di non notificare va motivata e scritta nel registro delle violazioni. Se il Garante te la chiede, devi poter mostrare come sei arrivato a quella conclusione.
| Livello di rischio | Registro interno | Notifica al Garante | Comunicazione agli interessati |
|---|---|---|---|
| Rischio improbabile | Sì | No | No |
| Rischio | Sì | Sì, entro 72 ore ove possibile | No |
| Rischio elevato | Sì | Sì, entro 72 ore ove possibile | Sì, senza ingiustificato ritardo, salvo le eccezioni dell'articolo 34.3 |
La comunicazione agli interessati: l'articolo 34
Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, l'articolo 34 chiede di comunicarla anche agli interessati, senza ingiustificato ritardo. Lo scopo è pratico: permettere alle persone di proteggersi, per esempio cambiando una password, bloccando una carta o prestando attenzione a tentativi di phishing mirati.
La comunicazione va scritta in un linguaggio semplice e chiaro e contiene la natura della violazione, i contatti del DPO o di un altro punto di contatto, le probabili conseguenze e le misure adottate o proposte. Non serve se ricorre una delle condizioni dell'articolo 34.3:
- i dati erano protetti da misure che li rendono incomprensibili a chi non è autorizzato, come la cifratura;
- dopo la violazione hai adottato misure che scongiurano il rischio elevato;
- avvisare ogni persona richiederebbe sforzi sproporzionati: in questo caso si procede con una comunicazione pubblica o una misura simile, ugualmente efficace.
Il Garante, valutato il rischio, può comunque richiederti di comunicare la violazione agli interessati (articolo 34.4).
Il registro delle violazioni (articolo 33.5)
L'articolo 33.5 chiede al titolare di documentare qualsiasi violazione dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati per porvi rimedio. Vale per tutte le violazioni, anche quelle non notificate. Il registro serve al Garante per verificare il rispetto dell'articolo 33, e a te per non ripetere gli stessi errori.
Un registro utile contiene almeno:
- Data e ora dell'evento e della scoperta, e chi l'ha rilevato
- Descrizione dell'accaduto e tipo di violazione (riservatezza, integrità, disponibilità)
- Categorie di dati e di interessati, con i numeri approssimativi
- Valutazione del rischio e motivazione della decisione di notificare o no
- Date di notifica al Garante e di comunicazione agli interessati, se avvenute
- Misure di contenimento, rimedio e prevenzione, con i responsabili
La notifica NIS2 al CSIRT Italia
Se la tua organizzazione è un soggetto essenziale o importante ai sensi del decreto legislativo 138/2024, che recepisce la NIS2, gli incidenti significativi vanno notificati al CSIRT Italia, presso l'Agenzia per la Cybersicurezza Nazionale (ACN). Se non sai se rientri, parti dalla guida NIS2: chi è obbligato.
Lo schema è a più tempi, sempre a partire dalla conoscenza dell'incidente significativo:
- Entro 24 ore: una pre-notifica, il preallarme
- Entro 72 ore: la notifica dell'incidente, che aggiorna la pre-notifica con una prima valutazione di gravità e impatto
- Su richiesta del CSIRT Italia: relazioni intermedie sugli aggiornamenti
- Entro un mese dalla notifica: la relazione finale
Le due notifiche sono obblighi distinti, verso autorità diverse, con criteri diversi. Il GDPR guarda al rischio per le persone i cui dati sono coinvolti; la NIS2 guarda alla significatività dell'incidente per i servizi del soggetto. Un ransomware che cifra il gestionale di un soggetto NIS2 può far scattare entrambe: la notifica al CSIRT non sostituisce quella al Garante, e viceversa. Conviene preparare una sola raccolta di fatti e da quella alimentare entrambe le comunicazioni, così le informazioni restano coerenti.
La timeline: cosa fare ora per ora
Le scadenze di legge sono quelle indicate sopra. La sequenza che segue è una traccia operativa per arrivarci senza affanno: adattala alla tua organizzazione e scrivila nella procedura di gestione degli incidenti prima che serva.
| Quando | Cosa fare | Chi |
|---|---|---|
| Ora 0 | Segnalazione dell'evento. Annota data e ora della scoperta: da qui decorrono i termini. | Chi rileva, poi il referente incidenti |
| Prime ore | Contenimento: isola i sistemi coinvolti, cambia le credenziali compromesse, conserva log ed evidenze senza cancellarle. | IT interno o fornitore, SOC se presente |
| Entro le prime 24 ore | Convoca la squadra di risposta e il DPO. Prima valutazione: ci sono dati personali? Di chi, quanti, di che tipo? Per i soggetti NIS2: invio della pre-notifica al CSIRT Italia se l'incidente è significativo. | Squadra di risposta, DPO, direzione |
| Tra 24 e 48 ore | Valutazione del rischio per le persone, raccolta delle informazioni dell'articolo 33.3, decisione motivata su notifica e comunicazione. | Titolare con il DPO |
| Entro 72 ore | Notifica al Garante tramite la procedura telematica, anche parziale. Per i soggetti NIS2: notifica dell'incidente al CSIRT Italia. | Titolare |
| Appena possibile | Se il rischio è elevato, comunicazione agli interessati. Non occorre aspettare le 72 ore: prima arriva, prima le persone possono proteggersi. | Titolare |
| Giorni successivi | Eradicazione della causa, ripristino da backup verificati, integrazioni alla notifica man mano che emergono fatti nuovi. | IT, fornitori, squadra di risposta |
| Entro un mese | Per i soggetti NIS2: relazione finale al CSIRT Italia. | Referente NIS2 |
| Chiusura | Registro delle violazioni completato, lezioni apprese, aggiornamento di misure e procedure. | Titolare, DPO |
Gli errori tipici
Gli errori che fanno sforare i tempi si somigliano tutti. Quasi nessuno riguarda la legge: riguardano l'organizzazione.
- Nessuno sa chi decide. Se i ruoli non sono assegnati prima, le prime ore si perdono a cercare chi deve fare cosa.
- Aspettare di sapere tutto. La notifica in fasi esiste proprio per non sforare le 72 ore. Una notifica tardiva senza motivazione è una violazione a sé.
- Cancellare le tracce. Reinstallare subito un server compromesso elimina i log che servono a capire cosa è uscito. Conserva prima, ripristina poi. Qui tornano utili i log degli accessi conservati per tempo.
- Non registrare i casi "minori". L'email inviata alla persona sbagliata va nel registro anche se non la notifichi.
- Confondere le notifiche. Pensare che la notifica al CSIRT Italia copra anche il Garante, o il contrario.
- Dimenticare i fornitori. Se il contratto con il responsabile del trattamento non fissa tempi e modi di segnalazione, la violazione può arrivarti con giorni di ritardo.
- Non provare mai la procedura. Una simulazione, come un cyber drill, mostra i buchi quando non costano nulla.
Ricorda infine che le violazioni degli obblighi degli articoli 33 e 34 rientrano tra quelle per cui l'articolo 83.4 del GDPR prevede sanzioni amministrative fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore.
Le 72 ore non bastano per organizzarsi. Bastano per eseguire una procedura che esiste già.
Per approfondire, le linee guida EDPB 9/2022 sulla notifica delle violazioni sono il riferimento europeo per l'interpretazione degli articoli 33 e 34.
Come ti aiuta Dottor Box
Il modulo Incident Response ti fa decidere prima chi fa cosa: quindici ruoli di risposta già previsti, da assegnare alle persone della tua organizzazione, e un contatto unico della squadra. Quando un evento accade, il registro data breach lo accoglie con la checklist delle fasi, dalla preparazione alle lezioni apprese, con un responsabile e uno stato per ogni azione. Il report dell'evento in PDF documenta cosa è stato fatto.
Con i livelli MDR + SOC, Dottor Marc assume il ruolo di Incident Response Team Lead e il nostro SOC collabora con la tua squadra sugli incidenti segnalati: trovi il dettaglio in SOC e MDR. A monte, il Dark Web Monitoring ti segnala le credenziali aziendali finite in violazioni altrui, spesso il primo passo di un attacco. Se stai impostando il percorso NIS2, la pagina adeguamento NIS2 mette insieme tutti i pezzi.