Data breach GDPR: dalla segnalazione alla notifica al Garante

Data breach GDPR: 72 ore che partono prima di sapere cosa è successo

La notifica data breach è l'obbligo del titolare di comunicare al Garante una violazione di dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza (art. 33 GDPR).

Il DPO di solito non scopre il data breach: lo riceve. Arriva una mail dell'IT alle 18 di venerdì, una segnalazione del fornitore cloud, una telefonata del responsabile di un ufficio che ha spedito un file al destinatario sbagliato. Le informazioni sono parziali, ma il termine dell'art. 33 GDPR decorre dal momento in cui il titolare ne è venuto a conoscenza.

Nelle prime ore devi rispondere a domande che si intrecciano:

• è davvero una violazione di dati personali o un incidente di sicurezza senza dati personali coinvolti?
• è compromessa la riservatezza, l'integrità o la disponibilità dei dati?
• il rischio per gli interessati è improbabile, presente o elevato (e quindi va informato anche l'interessato ai sensi dell'art. 34)?
• se l'incidente nasce presso un fornitore, il responsabile ha informato il titolare senza ingiustificato ritardo, come chiede l'art. 33, par. 2?

Per ognuna di queste domande serve la norma giusta e, spesso, un esempio delle linee guida EDPB 01/2021 sui casi di data breach. È qui che un software privacy con AI fa risparmiare il tempo della ricerca.

Data breach, cosa fare: la procedura con Next-OS

Next-OS non sostituisce la procedura data breach interna dell'organizzazione: la rende più veloce da eseguire e più facile da motivare.

1. Ricostruisci i fatti nel workspace della pratica

Apri un workspace dedicato all'incidente e carica quello che hai: report dell'IT, email del fornitore, log in PDF, anche scansioni. Chiedi a Next-OS di estrarre una cronologia e di indicare quali informazioni mancano per la valutazione.

2. Valuta il rischio del data breach GDPR con le fonti davanti

Chiedi se, nel caso descritto, il rischio è improbabile, presente o elevato, con i riferimenti all'art. 33, all'art. 34 e alle linee guida EDPB 9/2022 sulla notifica. Ogni passaggio della risposta ha la fonte citata, così puoi verificarla prima di scrivere il tuo parere al titolare.

3. Prepara la notifica data breach al Garante

L'art. 33, par. 3, chiede almeno: natura della violazione con categorie e numero approssimativo di interessati e di registrazioni; dati di contatto del DPO; probabili conseguenze; misure adottate o proposte. Next-OS ti restituisce una bozza strutturata su questi punti, esportabile in docx, da riportare nella procedura telematica del Garante.

4. Se serve, scrivi la comunicazione del data breach agli interessati

Quando il rischio è elevato, l'art. 34 chiede un linguaggio semplice e chiaro. Next-OS prepara un testo che contiene almeno le informazioni delle lettere b), c) e d) dell'art. 33, par. 3. Con le integrazioni del piano Professional puoi inviarlo come bozza email da Gmail o Outlook.

Un esempio concreto: ransomware e data breach GDPR

Una società di logistica con 400 dipendenti subisce un attacco ransomware su un file server. Tra le cartelle cifrate ci sono quelle dell'ufficio personale: buste paga, contratti, certificati di idoneità alla mansione. Il backup è integro e i dati vengono ripristinati in giornata, ma i log mostrano un traffico in uscita anomalo nelle ore precedenti.

Il DPO scrive a Next-OS: "Ransomware su file server HR, dati ripristinati da backup, possibile esfiltrazione non confermata. Va notificato al Garante? Va comunicato ai dipendenti?".

Cosa ottieni:

• un inquadramento che distingue la perdita di disponibilità (temporanea, risolta con il backup) dalla possibile perdita di riservatezza (l'esfiltrazione), con i riferimenti ai casi ransomware delle linee guida EDPB;
• l'elenco degli elementi che fanno salire il rischio nel caso concreto, come la presenza di dati relativi alla salute;
• la bozza dei contenuti della notifica, con i campi che restano da completare quando l'analisi forense chiarirà l'esfiltrazione, sfruttando la possibilità di integrare le informazioni in fasi successive (art. 33, par. 4).

La decisione su notifica e comunicazione resta del titolare, sentito il DPO. Next-OS ti mette in condizione di prenderla con le fonti in mano.

Data breach GDPR: cosa verificare prima di inviare la notifica

Anche con una bozza ben fatta, alcuni controlli spettano solo a te:

• Il momento della conoscenza. Nel data breach 72 ore decorrono da quando il titolare ha avuto una ragionevole certezza dell'incidente: annota quel momento.
• Il canale. Dal 1° luglio 2021 la notifica va inviata tramite la procedura telematica del Garante; il modello facsimile serve solo per vedere i contenuti in anteprima. Sulla stessa pagina trovi lo strumento di autovalutazione del Garante.
• Il registro delle violazioni. L'art. 33, par. 5, chiede di documentare qualsiasi violazione, anche non notificata, con circostanze, conseguenze e rimedi.
• Gli altri obblighi. Se l'organizzazione rientra nell'ambito del decreto legislativo 4 settembre 2024, n. 138 (NIS 2) o di DORA, lo stesso incidente può avere obblighi di segnalazione verso altre autorità, con tempi e moduli propri.
• Le norme in discussione. Al 20 ottobre 2026 la proposta di Omnibus digitale presentata dalla Commissione europea, che tra l'altro porterebbe il termine a 96 ore, non è stata approvata: valgono l'art. 33 e l'art. 34 nel testo attuale.

Se l'incidente nasce da un fornitore, rileggi anche l'accordo: la pagina sull'accordo art. 28 GDPR spiega cosa deve prevedere sull'assistenza al titolare. Quando la violazione richiede di rivedere un trattamento, il passo successivo è spesso una DPIA aggiornata.