Data breach le 72 ore spiegate con un caso reale

Le 72 ore per notificare una violazione di dati al Garante partono dal momento in cui te ne accorgi, non da quando hai capito quanto danno ha fatto. È l'errore più comune: si aspetta di avere il quadro completo prima di muoversi, e intanto il tempo scorre lo stesso. Vediamo come gestirla con un caso tipico del manifatturiero.

Quando scatta il conto alla rovescia

Il termine decorre dalla conoscenza della violazione, non dalla sua conferma tecnica. Se il tuo IT rileva un accesso anomalo alle 9 di lunedì e lo qualifica come possibile violazione, le 72 ore partono da lì. Non da quando, tre giorni dopo, avrete capito quali tabelle sono state esfiltrate.

Questo significa che la notifica al Garante spesso parte con informazioni parziali, e va bene così: il GDPR lo prevede esplicitamente.

se decidi di aspettare "di saperne di più" prima di notificare, il termine intanto continua a correre. L'attesa non sospende nulla.

Notificare con dati incompleti (e integrare dopo)

Alla prima notifica devi indicare quello che sai: natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, conseguenze probabili, misure adottate o proposte. Se non hai tutti i dettagli, lo dichiari e ti impegni a integrare appena disponibili.

L'integrazione successiva è normale prassi, non un'ammissione di ritardo. Meglio una notifica parziale ma tempestiva che una completa ma fuori termine.

Per la modulistica e i riferimenti aggiornati puoi consultare i provvedimenti pubblicati dal Garante Privacy: https://www.garanteprivacy.it/home/provvedimenti-normativa/provvedimenti

Quando avvisare anche gli interessati

La notifica al Garante non basta sempre. Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone, l'art. 34 GDPR impone di comunicarla anche agli interessati, senza ingiustificato ritardo.

Rischio elevato non è un concetto astratto: pensa a dati anagrafici e di contatto di centinaia di dipendenti finiti in mano a chi non doveva averli. In quel caso la comunicazione agli interessati non è un'opzione da valutare con calma: è un obbligo che corre in parallelo alla notifica all'autorità.

Il caso: accesso non autorizzato al MES

Scenario tipico in fabbrica: un fornitore esterno con credenziali VPN non revocate accede al sistema MES e consulta l'anagrafica dei dipendenti collegata ai turni di produzione. Nome, cognome, codice fiscale, reparto di appartenenza. Nessun dato sanitario, ma comunque dati personali trattati senza autorizzazione.

Le prime ore contano più della ricostruzione perfetta dei fatti:

• Revoca immediata delle credenziali compromesse e isolamento del sistema MES dalla rete se necessario.
• Registrazione dell'orario esatto in cui il team ha avuto conoscenza dell'evento: è il punto zero delle 72 ore.
• Valutazione preliminare delle categorie di dati coinvolte e del numero di dipendenti interessati, anche approssimativo.
• Se il rischio per i dipendenti appare elevato, avvio in parallelo della comunicazione agli interessati ex art. 34.
• Notifica al Garante entro 72 ore, anche con informazioni parziali, con impegno a integrare.

Un dettaglio che si dimentica spesso: il fornitore che ha causato l'accesso va gestito anche contrattualmente, ma questo non sposta di un minuto il termine delle 72 ore verso il Garante.

Cosa significa per te

• Definisci oggi, non durante l'emergenza, chi in azienda ha il compito di dichiarare "conosciuta la violazione" e far partire il cronometro.
• Prepara un modello di notifica preliminare da compilare anche con dati incompleti: non aspettare la fotografia completa.
• Distingui subito la notifica al Garante (sempre, salvo rischio minimo) dalla comunicazione agli interessati (solo se il rischio è elevato, art. 34).
• Nei sistemi MES e affini che trattano dati di dipendenti, verifica che la revoca degli accessi esterni sia automatica e non manuale.
• Tieni un log degli orari: sarà la prova che hai rispettato il termine, o la prova del contrario.

Clausify verifica che i manuali tecnici documentino correttamente i sistemi connessi e i dati che trattano, un primo passo per sapere cosa proteggere prima che arrivi la telefonata delle 9 di lunedì.