Data breach: cosa fare subito e come notificarlo al Garante
Data breach? Cosa fare nelle prime ore, come valutare il rischio, quando notificare al Garante entro 72 ore e come tenere il registro delle violazioni.
Area GUI · · 4 min di lettura
Un portatile rubato, un'email con un allegato inviata al destinatario sbagliato, un ransomware che cifra il gestionale, una casella di posta violata: sono tutti possibili data breach. Il GDPR non chiede di non sbagliare mai, ma di reagire in modo ordinato e nei tempi previsti. E i tempi sono stretti.
Che cos'è un data breach
Per il Regolamento (UE) 2016/679 una violazione dei dati personali è una violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali.
Si distinguono tre tipi di violazione, che possono anche combinarsi:
- di riservatezza: qualcuno non autorizzato vede o ottiene i dati;
- di integrità: i dati vengono alterati;
- di disponibilità: i dati diventano inaccessibili o vanno persi, anche temporaneamente, come accade con un ransomware.
Le prime ore: cosa fare subito
Quando emerge un sospetto, l'obiettivo è contenere il danno senza distruggere le informazioni utili per capire cosa è successo.
- Segnalare internamente al referente indicato dalla procedura, senza aspettare di avere certezze.
- Contenere: isolare dalla rete i dispositivi compromessi, bloccare gli account violati, cambiare le credenziali, revocare accessi.
- Non cancellare le tracce: evitare di reinstallare o spegnere tutto in fretta; conservare log, email sospette, schermate.
- Coinvolgere il fornitore IT ed eventualmente il DPO, se nominato.
- Annotare da subito orari, fatti e decisioni: serviranno per la notifica e per il registro.
La valutazione del rischio
Non ogni violazione va notificata. Il criterio è il rischio per i diritti e le libertà delle persone. Gli elementi da considerare sono, tra gli altri:
- tipo di dati: dati sanitari, giudiziari, bancari o credenziali pesano più di un indirizzo email aziendale;
- quantità di dati e di persone coinvolte;
- facilità di identificazione delle persone;
- gravità delle conseguenze possibili: frodi, furti d'identità, discriminazione, danni reputazionali;
- misure già in essere: se un portatile rubato era cifrato con una chiave non compromessa, il rischio può essere molto ridotto.
La valutazione va motivata per iscritto, anche quando si conclude che la notifica non è necessaria.
La notifica al Garante entro 72 ore
Se la violazione presenta un rischio per le persone, l'art. 33 del GDPR chiede al titolare di notificarla al Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne è venuto a conoscenza. Se la notifica avviene oltre questo termine, va motivato il ritardo.
La notifica descrive, tra l'altro:
- la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni;
- il punto di contatto, di solito il DPO se nominato;
- le probabili conseguenze;
- le misure adottate o proposte per porre rimedio e attenuare gli effetti.
Se non tutte le informazioni sono disponibili subito, possono essere fornite in fasi successive. Le modalità di invio aggiornate sono indicate sul sito del Garante.
Se la violazione avviene presso un fornitore che tratta dati per conto dell'azienda, questi deve informare il titolare senza ingiustificato ritardo: è bene che i contratti lo prevedano in modo chiaro.
Quando avvisare anche le persone coinvolte
Se il rischio è elevato, l'art. 34 prevede di comunicare la violazione anche agli interessati, senza ingiustificato ritardo, con un linguaggio semplice: cosa è successo, quali conseguenze sono possibili, cosa ha fatto l'azienda e cosa possono fare loro, per esempio cambiare una password o controllare i movimenti bancari.
Per le aziende soggette alla NIS2 lo stesso evento può richiedere anche la notifica al CSIRT Italia, con tempistiche proprie: ne parliamo in questo articolo.
Il registro delle violazioni
Il GDPR chiede di documentare tutte le violazioni, comprese quelle non notificate. Il registro deve riportare almeno:
- i fatti e la data di scoperta;
- gli effetti e i dati coinvolti;
- la valutazione del rischio e le decisioni prese, con le motivazioni;
- i provvedimenti adottati.
Un registro tenuto bene dimostra che l'azienda gestisce gli incidenti con metodo ed è una fonte preziosa per migliorare le misure di sicurezza.
Checklist per farsi trovare pronti
- Procedura data breach scritta e conosciuta dal personale
- Referente interno e sostituto individuati
- Contatti di fornitore IT e DPO a portata di mano
- Modello per la valutazione del rischio
- Registro delle violazioni attivo
- Contratti con i fornitori che prevedono la comunicazione tempestiva
- Portatili cifrati e backup testati
Come può aiutarti Area GUI
Area GUI supporta le aziende nel contenimento tecnico di un incidente, nella ricostruzione dei fatti tramite log e strumenti di sicurezza gestita, e nella prevenzione con backup, cifratura e monitoraggio. Per impostare la procedura o in caso di emergenza, contattaci.