Un data breach è una violazione di sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione o l’accesso non autorizzato a dati personali (art. 4 GDPR).
Non è solo l’attacco hacker: anche un’email con allegato inviata al destinatario sbagliato, un portatile rubato o un ransomware che rende i dati inaccessibili sono violazioni. Quello che conta è come l’azienda reagisce nelle prime 72 ore.
In sintesi
Data breach
Ogni violazione va documentata; si notifica se c’è un rischio per le persone.
Riservatezza
Dati visti o diffusi da chi non doveva
Integrità
Dati modificati senza autorizzazione
Disponibilità
Dati persi o inaccessibili
Garante
Notifica entro 72 ore se c’è rischio
Interessati
Avvisati se il rischio è elevato
Registro
Sempre, anche senza notifica
Esempi di data breach in azienda
- email con dati di clienti inviata al destinatario sbagliato o con tutti gli indirizzi in chiaro;
- casella di posta violata dopo un phishing, con accesso a fatture e documenti;
- ransomware che cifra il gestionale o il server dei documenti;
- portatile o chiavetta non cifrati smarriti o rubati;
- cartella condivisa o link pubblico che espone documenti del personale;
- fornitore (responsabile del trattamento) che subisce un attacco ai dati dell’azienda.
Cosa fare: la procedura in 6 passi
01
Rilevare e segnalare
Chi si accorge del problema avvisa subito il referente interno: il conteggio delle 72 ore parte da quando il titolare ne è consapevole.
02
Contenere
Bloccare gli accessi, cambiare le credenziali, richiamare l’email, isolare i sistemi.
03
Valutare il rischio
Tipo di dati, numero di persone, facilità di identificazione, conseguenze possibili.
04
Notificare al Garante
Se c’è un rischio per i diritti delle persone, con la procedura telematica del Garante entro 72 ore; le informazioni mancanti si integrano dopo.
05
Comunicare agli interessati
Se il rischio è elevato, in modo chiaro, spiegando cosa è successo e cosa possono fare.
06
Registrare e correggere
Annotare tutto nel registro delle violazioni e rimuovere la causa.
Una procedura scritta, con nomi e numeri di telefono, vale più di qualsiasi software il giorno in cui serve.
Quando non serve notificare
La notifica non è necessaria se è improbabile che la violazione comporti un rischio per le persone: per esempio dati cifrati con chiave non compromessa, o un errore subito corretto senza che nessuno abbia visto i dati. La valutazione però va fatta e scritta nel registro: in caso di controllo bisogna dimostrare perché non si è notificato.
Data breach e NIS2
Per le aziende soggette alla direttiva NIS2 un incidente significativo segue anche un secondo binario: pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Le due procedure vanno coordinate. I termini GDPR sono riassunti nella guida sulle scadenze GDPR; per le cause più frequenti vedi le guide su phishing e ransomware.
Con la nostra consulenza GDPR prepariamo procedura, modelli e registro, e con i servizi di cybersecurity riduciamo le probabilità che accada.
Domande frequenti sul data breach
Cos’è un data breach secondo il GDPR?
Una violazione di sicurezza che porta a distruzione, perdita, modifica, divulgazione o accesso non autorizzato a dati personali, per errore o per un attacco.
Entro quanto va notificato un data breach?
Entro 72 ore da quando il titolare ne è venuto a conoscenza, se c’è un rischio per i diritti e le libertà delle persone. Oltre le 72 ore la notifica deve spiegare il ritardo.
Un’email inviata per errore è un data breach?
Sì, se contiene dati personali e arriva a chi non doveva riceverli. Va valutato il rischio e registrata la violazione, anche se poi non si notifica.
Chi deve notificare il data breach?
Il titolare del trattamento. Se la violazione avviene presso un fornitore, questo deve avvisare il titolare senza ingiustificato ritardo, come previsto dal contratto ex art. 28.
Cos’è il registro delle violazioni?
Il documento interno in cui il titolare annota ogni violazione: fatti, effetti, valutazioni e misure adottate, comprese quelle non notificate.
Consulenza GDPR
Sapresti cosa fare se domani ci fosse un data breach?
Prepariamo procedura, modelli di notifica e registro delle violazioni, e formiamo chi dovrà usarli.
