Data breach: cosa deve fare un’organizzazione nelle prime ore

Valutazione dell’incidente, contenimento, documentazione, notifica e comunicazione agli interessati: come gestire una violazione di dati personali.

Non ogni incidente è uguale

Per data breach si intende una violazione di sicurezza che comporta accidentalmente o illecitamente distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali. La prima attività è capire cosa è accaduto e quali dati e persone sono coinvolti.

Contenere e conservare le evidenze

Bloccare accessi compromessi, isolare sistemi, modificare credenziali e coinvolgere i fornitori può essere necessario, ma le azioni tecniche devono anche preservare log ed evidenze utili a ricostruire l’incidente.

Valutare il rischio

Il titolare deve valutare probabilità e gravità delle conseguenze per i diritti e le libertà delle persone. Natura dei dati, quantità, identificabilità, possibili frodi, danni economici o reputazionali e categorie vulnerabili incidono sulla valutazione.

Notifica all’autorità

Quando ricorrono i presupposti, il GDPR prevede la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Il termine rende indispensabile una procedura interna chiara.

Comunicazione agli interessati

In presenza di rischio elevato può essere necessaria anche una comunicazione alle persone coinvolte, salvo le eccezioni previste. Il messaggio deve essere comprensibile e indicare natura della violazione e misure adottate o suggerite.

Registro e prevenzione

Anche gli incidenti che non vengono notificati devono essere documentati secondo la disciplina applicabile. L’analisi successiva dovrebbe portare a correggere vulnerabilità, procedure, formazione, contratti con fornitori e misure di sicurezza.

Documenti utili da preparare

• contratti, ordini, preventivi o condizioni generali pertinenti;
• PEC, email, lettere e messaggi rilevanti;
• documenti contabili, ricevute o prove dei pagamenti quando rilevanti;
• una cronologia essenziale con date, soggetti e passaggi principali.

Domande frequenti

Un’email inviata al destinatario sbagliato è sempre un data breach?

Può esserlo, ma la gravità e gli adempimenti conseguenti dipendono dai dati contenuti, dal destinatario e dalle misure di contenimento adottate.

Il responsabile del trattamento deve notificare al Garante?

Il responsabile deve informare il titolare secondo il GDPR e il contratto; la responsabilità della notifica all’autorità ricade normalmente sul titolare nei casi previsti.