Violazione dei dati personali: come notificare al Garante entro 72 ore
Data breach in azienda: quando scatta l'obbligo di notifica al Garante, cosa scrivere, come valutare il rischio, quando avvisare gli interessati e come tenere il registro delle violazioni.
Se l'azienda scopre una violazione di dati personali (accesso non autorizzato, perdita, cifratura da ransomware, invio errato di dati), il titolare del trattamento deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, vanno informati anche gli interessati senza ingiustificato ritardo. Lo prevedono gli articoli 33 e 34 del GDPR. Anche quando non si notifica, la violazione va documentata nel registro interno.
Questa guida è informativa: per la valutazione del caso concreto rivolgiti al tuo DPO, se nominato, o a un consulente privacy. Moduli e canali di invio vanno verificati sul sito del Garante, perché le modalità possono cambiare.
Che cos'è una violazione dei dati
Il GDPR (articolo 4, punto 12) definisce violazione dei dati personali ogni violazione di sicurezza che comporta, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati. Si distingue per tre profili:
- riservatezza: qualcuno non autorizzato vede i dati (email inviata al destinatario sbagliato, furto di credenziali);
- integrità: i dati vengono alterati senza autorizzazione;
- disponibilità: i dati non sono più accessibili o sono persi (ransomware, cancellazione, guasto senza backup).
Non serve che i dati siano stati usati: basta la violazione. Un portatile smarrito con dati non cifrati è già un evento da valutare.
Quando scatta il termine delle 72 ore
Le 72 ore decorrono da quando il titolare ne ha avuto conoscenza, cioè quando ha una ragionevole certezza che si sia verificato un incidente che ha compromesso dati personali. Il tempo include giorni festivi e fine settimana. Se il fornitore (responsabile del trattamento) scopre la violazione, deve informare il titolare senza ingiustificato ritardo: per questo i contratti devono prevedere tempi chiari, spesso molto più brevi delle 72 ore.
Se non hai tutte le informazioni entro le 72 ore, puoi fare una notifica per fasi, integrando i dettagli appena disponibili. Un ritardo va motivato.
Quando si deve notificare e quando no
La regola è che si notifica a meno che sia improbabile un rischio per le persone. Per decidere, valuta:
| Elemento | Domande da porsi |
|---|---|
| Tipo di dati | Sono coinvolti dati sanitari, giudiziari, documenti di identità, dati finanziari, credenziali? |
| Numero di persone | Quante persone sono coinvolte? Sono persone vulnerabili (minori, pazienti)? |
| Facilità di identificazione | I dati identificano direttamente le persone? |
| Gravità delle conseguenze | Possibili furti d'identità, frodi, discriminazioni, danni reputazionali, perdita di riservatezza? |
| Misure di protezione | I dati erano cifrati in modo robusto con chiavi non compromesse? |
| Natura dell'evento | Perdita accidentale o attacco intenzionale? I dati sono finiti nelle mani di chi può abusarne? |
Esempio illustrativo: un portatile con dati di clienti cifrato con buone pratiche e protetto da password, smarrito senza prove di accesso, potrebbe comportare un rischio improbabile; lo stesso portatile non cifrato con archivi di anagrafiche e documenti fa pensare a un rischio da valutare con attenzione e probabilmente da notificare. La valutazione va motivata e conservata.
Il Garante fornisce uno strumento di autovalutazione sul proprio sito che aiuta a capire se notificare. Le linee guida europee del Comitato europeo per la protezione dei dati (EDPB) sulla notifica delle violazioni offrono esempi pratici.
Cosa deve contenere la notifica
L'articolo 33 prevede che la notifica indichi almeno:
- la natura della violazione, con categorie e numero approssimativo di interessati e di registrazioni coinvolte;
- nome e recapiti del DPO o di altro punto di contatto;
- le probabili conseguenze;
- le misure adottate o proposte per rimediare e attenuare gli effetti.
Prepara in anticipo un modello con questi campi: durante un incidente il tempo è poco e le informazioni sono incomplete.
Quando informare gli interessati
Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone, il titolare comunica la violazione agli interessati con linguaggio semplice: che cosa è successo, quali dati, quali conseguenze possibili, cosa stai facendo e cosa possono fare loro (cambiare password, controllare i movimenti bancari, diffidare di messaggi sospetti), a chi rivolgersi. La comunicazione non è richiesta se i dati erano resi incomprensibili (per esempio cifrati) o se le misure successive hanno eliminato il rischio elevato, oppure se richiederebbe sforzi sproporzionati e si ricorre a una comunicazione pubblica equivalente. Il Garante può comunque ordinare di comunicare.
Il registro delle violazioni
Indipendentemente dalla notifica, l'articolo 33, paragrafo 5, impone di documentare ogni violazione: fatti, effetti, provvedimenti adottati. Un registro semplice con data di scoperta, descrizione, dati coinvolti, valutazione del rischio, decisione di notificare o meno e motivazione, azioni correttive, è sufficiente. In caso di controllo, il registro dimostra che l'azienda ha un processo.
Procedura operativa in sette passi
- Contenere: isola i sistemi coinvolti, cambia le credenziali compromesse, interrompi l'invio o l'accesso.
- Avvisare il referente interno (titolare, DPO, responsabile IT) e annotare l'ora della scoperta.
- Raccogliere i fatti: cosa, quando, quali dati, quante persone, causa probabile.
- Valutare il rischio con i criteri della tabella.
- Decidere sulla notifica al Garante entro 72 ore e, se necessario, sulla comunicazione agli interessati.
- Notificare tramite il canale indicato dal Garante e conservare la ricevuta.
- Rimediare e documentare: correggere la causa, aggiornare il registro e le misure di sicurezza.
Se l'azienda rientra tra i soggetti NIS2, un incidente può richiedere anche la notifica al CSIRT Italia con tempistiche diverse; vedi la guida NIS2 per le PMI. Per l'organizzazione generale della risposta usa il piano di risposta agli incidenti.
Sanzioni
La mancata notifica o la violazione degli obblighi di sicurezza possono comportare sanzioni amministrative: per gli obblighi degli articoli 33 e 34 fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo, per i principi di base fino a 20 milioni o al 4 per cento, secondo l'articolo 83 del GDPR. La sanzione effettiva dipende da gravità, durata, collaborazione e misure adottate.
Domande frequenti
Le 72 ore valgono anche se la violazione è avvenuta di sabato?
Sì: decorrono dalla conoscenza della violazione e comprendono festivi e fine settimana.
Devo notificare se i dati erano cifrati?
Se la cifratura è robusta e le chiavi non sono compromesse, il rischio può essere improbabile e quindi la notifica non necessaria, ma la valutazione va documentata.
Se il fornitore perde i miei dati, chi notifica?
Il titolare del trattamento, cioè l'azienda. Il fornitore deve avvisarti senza ritardo; per questo conta il contratto.
Posso notificare in più tempi?
Sì, l'articolo 33 consente di fornire le informazioni in fasi quando non è possibile averle tutte subito.
Fonti ufficiali
- Garante per la protezione dei dati personali — procedura di notifica, modulistica e strumento di autovalutazione.
- EDPB - Comitato europeo per la protezione dei dati — linee guida sulla notifica delle violazioni.
- EUR-Lex — testo del regolamento (UE) 2016/679, articoli 33 e 34.
