consoo

È successo: cosa va fatto nelle prime 72 ore

Dopo una violazione dei dati non conta solo rimettere in piedi i sistemi: parte un conto alla rovescia legale di 72 ore che quasi nessuno conosce prima di trovarcisi dentro.

8 minTitolari, direzione, chiunque tratti dati dei clienti

Cosa portare a casa

Risposta breve

Quando una violazione riguarda dati personali, il GDPR impone (art. 33) di notificarla all'autorità di controllo — in Italia il Garante — «senza ingiustificato ritardo e, ove possibile, entro 72 ore» dal momento in cui se ne è venuti a conoscenza. In alcuni casi (art. 34) va informata anche la persona i cui dati sono stati coinvolti. È un obbligo con una scadenza precisa, e la scadenza parte dalla scoperta, non dalla comodità.

Le 72 ore sono un obbligo di legge (GDPR art. 33) e partono da quando scoprite la violazione, non da quando decidete di occuparvene.

Non tutte le violazioni vanno notificate, ma la valutazione va fatta e documentata: «abbiamo deciso di no» richiede una motivazione scritta.

In parallelo alla legge c'è la tecnica: contenere, capire cosa è stato toccato e non distruggere le tracce.

L'errore più comune è cancellare tutto per «ripulire»: si distruggono le prove che servono a capire l'entità e a rispondere all'autorità.

Data Hub

CONSOO

Torna alle guide

Il conto alla rovescia legale

Il titolare notifica la violazione all'autorità di controllo «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza», a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

Regolamento UE 2016/679 (GDPR), art. 33

Due parole di quella frase decidono tutto. «Ne è venuto a conoscenza»: il cronometro parte dalla scoperta, quindi tenere gli occhi chiusi non lo ferma, e accorgersene tardi non allunga il termine. «A meno che sia improbabile che presenti un rischio»: non ogni violazione va notificata, ma stabilire se rientra nell'eccezione è una valutazione che va fatta e messa per iscritto, non un'assenza di decisione.

Cosa fare nelle prime ore, in parallelo

  1. 01

    Contenere, senza distruggere

    Fermare la falla — isolare il sistema, chiudere l'accesso sfruttato, cambiare le credenziali — ma senza cancellare o reinstallare tutto: quelle sono le tracce che serviranno a capire cosa è successo.

  2. 02

    Attivare chi deve decidere

    Avvisare subito la direzione, il responsabile privacy e il legale. La decisione sulla notifica è loro, e hanno 72 ore: prima li coinvolgete, più tempo hanno.

  3. 03

    Capire cosa è stato toccato

    Quali dati, di quante persone, per quanto tempo esposti. È la base sia della valutazione legale sia della risposta tecnica. Spesso è la parte più lenta, ed è il motivo per cui le tracce non vanno distrutte.

  4. 04

    Documentare tutto, dall'inizio

    Ora della scoperta, cosa avete visto, cosa avete fatto e quando. Serve alla notifica e serve a voi: una violazione mal documentata è una violazione difficile da difendere.

  5. 05

    Ripristinare da una copia sicura

    Solo dopo aver raccolto le tracce, si rimette in piedi il sistema da un backup che sapete integro. Se non avete mai provato un ripristino, è il momento peggiore per scoprire che non funziona.

L'errore che aggrava tutto

Risorse collegate utili

Il cliente che vede i dati di un altroSito hackerato: cosa fareLa prova di ripristino del backupFarsi attaccare di proposito

Domande frequenti

72 ore da quando, esattamente?

Da quando venite a conoscenza della violazione, cioè da quando avete un ragionevole grado di certezza che sia avvenuta — non da quando finite di indagarla. Per questo la prima ora conta: prima registrate il momento della scoperta e attivate chi decide, più margine avete dentro la finestra.

Devo sempre avvisare i clienti coinvolti?

Non sempre. La comunicazione alle persone (art. 34) è richiesta quando la violazione comporta un rischio elevato per i loro diritti, e ci sono casi in cui non è dovuta. Anche qui la valutazione è da fare con il legale sul caso concreto: la regola generale è che avvisare l'autorità e avvisare le persone rispondono a due soglie diverse.

Se non notifico e nessuno se ne accorge, cosa rischio?

La mancata notifica, quando era dovuta, è essa stessa una violazione sanzionabile, e le violazioni tendono a emergere — dai clienti, dai dati che ricompaiono altrove, da segnalazioni. Il calcolo «tanto non si saprà» è fragile e aggrava la posizione: dimostra che si è scelto di non adempiere. La strada difendibile è valutare e documentare, non nascondere.

Come mi preparo prima che succeda?

Con tre cose: sapere chi chiamare (legale, privacy, chi conosce i sistemi) senza cercarli nel momento peggiore; avere backup che sapete ripristinare perché li avete provati; e aver ridotto in anticipo la superficie di rischio con verifiche periodiche. La preparazione non evita l'incidente, ma trasforma 72 ore di panico in 72 ore di procedura.

Meglio preparare la risposta prima che serva. Guardiamo insieme dove siete esposti e cosa manca per reggere le prime 72 ore senza improvvisare. Consulenza gratuita.

CONSOO trasforma idee su software, AI e integrazioni in un percorso tecnico chiaro per PMI.

  • 30 minuti, online
  • Nessun impegno
  • Analisi del tuo caso reale
  • Risposta entro 24 ore

Guide correlate

Altre pagine pensate per ricerche ad alta intenzione delle PMI.

Sicurezza

Farsi attaccare di proposito: pagare qualcuno perché provi a entrare nella tua applicazione

Sembra un controsenso spendere per essere attaccati. È invece l'unico modo di sapere cosa sa già chi vi attaccherà gratis, e prima di lui.

Leggi la guida Sicurezza

Come faccio a sapere se la mia app è sicura?

«Funziona» e «è sicura» sono due cose diverse. Un'app può girare benissimo per anni e avere una porta aperta che nessuno ha mai provato a spingere.

Leggi la guida Sicurezza

Le porte che un estraneo prova per prime, in ordine

Al primo posto dei difetti più sfruttati non c'è un virus né una tecnica sofisticata: c'è un utente che arriva dove non dovrebbe. E si previene sapendo dove guardare.

Leggi la guida