Punti chiave
- Una procedura data breach dice chi fa cosa quando dati personali vengono persi, alterati o esposti, e serve a rispettare gli articoli 33 e 34 del GDPR.
- La notifica al Garante va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza, salvo che il rischio per le persone sia improbabile.
- Per l'EDPB la conoscenza c'è quando il titolare ha un ragionevole grado di certezza che dati personali sono stati compromessi; il fornitore deve avvisare il titolare senza ingiustificato ritardo.
- Con rischio elevato la violazione va comunicata anche agli interessati, salvo le tre esenzioni dell'art. 34, par. 3, tra cui i dati resi incomprensibili, per esempio con la cifratura.
- Dal 1° luglio 2021 la notifica si invia con la procedura telematica del Garante; il facsimile sul portale serve a preparare i contenuti, non a notificare.
- Ogni violazione, anche non notificata, va documentata (art. 33, par. 5): il registro deve riportare fatti, conseguenze, rimedi e la motivazione delle decisioni.
La risposta breve: una procedura data breach è il documento interno che dice chi fa cosa quando dei dati personali vengono persi, alterati o esposti. Serve a rispettare gli articoli 33 e 34 del GDPR: notifica al Garante entro 72 ore se c'è un rischio per le persone, comunicazione agli interessati se il rischio è elevato, e un registro di tutte le violazioni, anche di quelle non notificate.
Cosa conta come data breach
L'articolo 4, punto 12, del GDPR definisce la violazione dei dati personali come "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati".
Le linee guida EDPB 9/2022 sulla notifica delle violazioni (versione 2.0, adottata il 28 marzo 2023) riprendono la classificazione in tre tipi, che possono presentarsi anche insieme:
- violazione della riservatezza: qualcuno accede ai dati o li riceve senza averne diritto, per errore o per un attacco;
- violazione dell'integrità: i dati vengono modificati senza autorizzazione o per errore;
- violazione della disponibilità: i dati non sono più accessibili o vengono distrutti.
Il terzo tipo è quello che si sottovaluta. Un ransomware che cifra il gestionale, una cancellazione accidentale senza backup ripristinabile, la chiave di decifratura persa: per l'EDPB sono perdite di disponibilità anche se nessun dato è uscito dall'azienda, e nel caso del ransomware va valutato anche se l'attaccante ha avuto accesso ai dati. Il Garante, nella sua pagina sul data breach, elenca tra gli esempi il furto o la perdita di dispositivi con dati personali e l'impossibilità di accedere ai dati per cause accidentali o per attacchi esterni.
I tre obblighi del GDPR
- Notificare al Garante (art. 33, par. 1). Il titolare notifica la violazione all'autorità di controllo "senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza", a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Oltre le 72 ore, la notifica va accompagnata dai motivi del ritardo.
- Comunicare agli interessati (art. 34). Quando la violazione è suscettibile di presentare un rischio elevato, il titolare la comunica anche alle persone coinvolte, senza ingiustificato ritardo e con un linguaggio semplice e chiaro.
- Documentare tutto (art. 33, par. 5). Il titolare documenta qualsiasi violazione, comprese le circostanze, le conseguenze e i provvedimenti adottati. Vale anche per le violazioni che non si notificano.
Il responsabile del trattamento, cioè il fornitore che tratta dati per conto dell'azienda, ha un obbligo suo: l'articolo 33, paragrafo 2, gli chiede di informare il titolare senza ingiustificato ritardo appena viene a conoscenza della violazione.
Da quando partono le 72 ore
Il termine decorre da quando il titolare ne è venuto a conoscenza. Per l'EDPB il titolare è a conoscenza quando ha un ragionevole grado di certezza che si è verificato un incidente di sicurezza che ha compromesso dati personali.
Dopo una prima segnalazione è ammesso un breve periodo di indagine per capire se la violazione c'è davvero, ma le linee guida chiedono che l'indagine parta il prima possibile. Se il titolare non si muove in tempo e poi emerge che la violazione c'era, il ritardo può essere considerato una mancata notifica.
Gli esempi dell'EDPB aiutano a fissare il momento:
- una chiavetta USB con dati non cifrati viene persa: la conoscenza c'è quando ci si accorge della perdita, perché la violazione della disponibilità è certa anche se non si sa chi ha letto i dati;
- un criminale chiede un riscatto dopo essere entrato nei sistemi: verificato l'attacco, non c'è dubbio;
- il fornitore segnala una violazione sui dati che tratta per conto dell'azienda: in linea di principio il titolare è a conoscenza dal momento in cui il fornitore lo ha informato.
L'ultimo punto ha una conseguenza pratica. Le 72 ore del titolare possono iniziare quando il problema è nato da un fornitore, quindi i contratti con i responsabili del trattamento dovrebbero fissare tempi e canali di segnalazione. L'EDPB raccomanda che il responsabile avvisi subito, anche con informazioni parziali da completare dopo.
La procedura data breach, passo per passo
Il GDPR non prescrive un formato. Le linee guida EDPB indicano però i passaggi che servono in ogni caso, e consigliano una procedura documentata e conosciuta dal personale. Questa è la sequenza che proponiamo, costruita su quei passaggi.
1. Rilevazione e segnalazione interna
Ogni evento di sicurezza deve arrivare a una persona o a un gruppo con il compito di valutarlo. La procedura indica il canale (un indirizzo, un numero, il ticket del service desk), cosa segnalare e in quanto tempo. L'EDPB chiede anche che il DPO, se c'è, venga informato subito e coinvolto per tutta la gestione.
2. Primo esame e contenimento
Si stabilisce se sono coinvolti dati personali e, in parallelo, si ferma la perdita: isolare il sistema, revocare le credenziali, chiedere al destinatario sbagliato di cancellare il messaggio. Da qui si annota tutto con data e ora, perché ogni decisione andrà motivata nel registro.
3. Valutazione del rischio per le persone
Il rischio da valutare è quello per gli interessati, non per l'azienda. L'EDPB elenca i fattori da considerare:
- il tipo di violazione;
- la natura, la sensibilità e il volume dei dati (dati sanitari, documenti d'identità, dati finanziari pesano di più);
- la facilità di identificare le persone partendo dai dati;
- la gravità e la durata delle conseguenze;
- le caratteristiche delle persone coinvolte, per esempio minori o soggetti vulnerabili;
- le caratteristiche del titolare e della sua attività;
- il numero di persone coinvolte.
L'esito ha tre livelli: rischio improbabile, rischio, rischio elevato. Per i casi dubbi il Garante mette a disposizione uno strumento di autovalutazione che indica le azioni da intraprendere dopo una violazione derivante da un incidente di sicurezza.
4. Decisione sulla notifica
- Rischio improbabile: niente notifica, ma la violazione si registra con la motivazione della scelta.
- Rischio: notifica al Garante.
- Rischio elevato: notifica al Garante e comunicazione agli interessati.
Chi decide va scritto nella procedura per nome di ruolo, insieme a un sostituto. Una decisione che aspetta il rientro di una persona dalle ferie consuma la finestra delle 72 ore.
5. Notifica al Garante
Dal 1° luglio 2021 la notifica va inviata con la procedura telematica sul portale dei servizi online del Garante, all'indirizzo servizi.gpdp.it/databreach, come stabilito dal provvedimento n. 209 del 27 maggio 2021. L'articolo 33, paragrafo 3, chiede che la notifica contenga almeno:
- la natura della violazione, con categorie e numero approssimativo di interessati e di registrazioni coinvolte;
- il nome e i contatti del DPO o di un altro punto di contatto;
- le probabili conseguenze;
- le misure adottate o proposte per porre rimedio e attenuare gli effetti.
Se a 72 ore il quadro non è completo, l'articolo 33, paragrafo 4, consente di fornire le informazioni in fasi successive. L'EDPB suggerisce di dirlo già nella prima notifica e precisa che se poi si scopre che la violazione non c'era, la notifica si può aggiornare senza conseguenze sanzionatorie.
6. Comunicazione agli interessati
La comunicazione descrive la natura della violazione e contiene almeno il punto di contatto, le probabili conseguenze e le misure adottate (art. 34, par. 2). Non è richiesta in tre casi (art. 34, par. 3): il titolare aveva applicato ai dati violati misure adeguate, in particolare misure che li rendono incomprensibili a chi non è autorizzato, come la cifratura; il titolare ha già adottato misure che scongiurano il rischio elevato; la comunicazione individuale richiederebbe sforzi sproporzionati, e allora si fa una comunicazione pubblica con analoga efficacia.
7. Registrazione e chiusura
La violazione entra nel registro, si raccolgono le prove delle comunicazioni fatte e si decide cosa cambiare perché non si ripeta.
Il registro data breach: cosa contiene
L'articolo 33, paragrafo 5, chiede di documentare ogni violazione, e il Garante indica come esempio un apposito registro. Le linee guida EDPB invitano a tenere un registro interno indipendentemente dall'obbligo di notifica, e precisano che può stare dentro il registro delle attività di trattamento dell'articolo 30, purché le violazioni siano riconoscibili ed estraibili su richiesta.
Non esiste un modello ufficiale di registro. Partendo da quanto chiedono l'articolo 33 e le linee guida, un modello di registro data breach regge un controllo se per ogni violazione riporta:
- numero progressivo, data e ora della scoperta, data e ora in cui il titolare ne è venuto a conoscenza;
- chi l'ha segnalata e come;
- descrizione dei fatti e causa, se nota;
- tipo di violazione (riservatezza, integrità, disponibilità);
- categorie e numero approssimativo di interessati e di registrazioni;
- sistemi e fornitori coinvolti;
- conseguenze probabili e valutazione del rischio, con il livello assegnato;
- misure di contenimento e di rimedio, con date;
- decisione sulla notifica al Garante e motivazione, anche quando la risposta è no;
- data della notifica, eventuali integrazioni e motivi di un ritardo oltre le 72 ore;
- decisione sulla comunicazione agli interessati, con la prova dell'invio o il motivo dell'esenzione;
- azioni correttive e data di chiusura.
Sui punti 9 e 11 le linee guida sono esplicite: l'EDPB chiede di documentare il ragionamento dietro le decisioni, in particolare perché una violazione non è stata notificata, e, se si applica una delle esenzioni dell'articolo 34, paragrafo 3, di poterlo dimostrare. Il GDPR non fissa un tempo di conservazione: secondo le linee guida lo decide il titolare, tenendo conto che il registro serve a dimostrare la conformità all'autorità.
Fac simile e modelli: cosa si può usare
Sul portale del Garante, nella pagina della procedura telematica, è disponibile un modello facsimile della notifica. Il Garante avverte che non va usato per notificare, ma è utile per vedere in anteprima i contenuti richiesti. Conviene scaricarlo quando si scrive la procedura, non durante una violazione: i campi del facsimile dicono quali informazioni bisogna saper raccogliere in poche ore.
Tra i documenti di riferimento il Garante segnala anche le linee guida EDPB 01/2021, dedicate agli esempi di notifica: un buon materiale per le esercitazioni.
Data breach e incidente NIS2: due notifiche diverse
Chi rientra nella NIS2 ha anche l'obbligo di notificare gli incidenti significativi al CSIRT Italia, con tempi e contenuti propri, descritti in NIS2 e notifica degli incidenti. Nella nostra lettura un ransomware su un sistema che contiene dati personali può far scattare entrambe le notifiche, e la procedura deve prevederle tutte e due con le rispettive scadenze. Le misure di sicurezza che il GDPR chiede a monte sono descritte in art. 32 GDPR e misure di sicurezza.
Cosa si rischia
La violazione degli obblighi degli articoli da 25 a 39, quindi anche degli articoli 33 e 34, è soggetta secondo l'articolo 83, paragrafo 4, a sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. L'EDPB ricorda che anche una documentazione insufficiente può portare all'esercizio dei poteri dell'articolo 58 o a una sanzione.
Da dove partire
La procedura funziona solo se la violazione viene vista in tempo: le 72 ore non servono a niente se l'accesso abusivo resta nascosto per settimane, come spiega quanto tempo serve per accorgersi di un attacco. Prima di scrivere il documento, conviene chiedersi chi oggi riceverebbe l'allarme alle tre di notte di un sabato.
Se vuoi capire come coprire monitoraggio continuo e risposta agli incidenti, così da avere i fatti pronti quando serve notificare, guarda i nostri servizi di cybersecurity.