Una violazione di dati personali non è solo l'attacco informatico spettacolare. È anche il portatile rubato dall'auto, la mail con l'elenco clienti inviata al destinatario sbagliato, la chiavetta persa, l'armadio delle pratiche lasciato aperto. Sono tutti casi che possono richiedere una notifica, e il termine è breve.
Il termine delle 72 ore
Il conteggio parte dal momento in cui l'azienda viene a conoscenza della violazione, non da quando è avvenuta. Entro quel termine, se la violazione comporta un rischio per i diritti e le libertà delle persone, va notificata all'autorità di controllo. Se non si dispone ancora di tutte le informazioni, si notifica comunque quello che si sa e si completa in un secondo momento: è previsto espressamente.
Le prime ore: contenere
- Isolate. Scollegate dalla rete i sistemi coinvolti, senza spegnerli se possibile: spegnere può distruggere tracce utili all'analisi.
- Bloccate gli accessi compromessi: cambio password, revoca delle sessioni attive, disattivazione degli account sospetti.
- Non ripristinate subito sopra i sistemi coinvolti. Prima si capisce come è entrato l'attaccante, altrimenti si rientra nella stessa situazione dopo pochi giorni.
- Conservate le prove: registri di accesso, immagini dei sistemi, messaggi ricevuti. Serviranno sia per l'analisi sia per l'eventuale denuncia.
- Aprite un diario degli eventi con data e ora di ogni cosa che scoprite e fate. È il documento che dimostrerà la diligenza dell'azienda.
La valutazione: serve la notifica?
Vanno stabiliti alcuni punti:
- Quali categorie di dati sono coinvolte: dati di contatto ordinari o dati sensibili come salute, dati giudiziari, credenziali bancarie.
- Quante persone sono interessate.
- Se i dati erano cifrati con chiavi non compromesse: in quel caso il rischio può risultare molto ridotto.
- Quali conseguenze concrete possono subire le persone: frodi, furti d'identità, discriminazioni, danni reputazionali.
Se il rischio è improbabile, la notifica non è dovuta ma la valutazione va comunque documentata e conservata: la decisione di non notificare va poter essere motivata.
La comunicazione agli interessati
Quando il rischio per le persone è elevato, oltre alla notifica all'autorità serve informare direttamente gli interessati, in linguaggio chiaro e senza ritardo. Il messaggio deve dire cosa è successo, quali dati sono coinvolti, quali conseguenze possono esserci, cosa sta facendo l'azienda e cosa possono fare loro — per esempio cambiare le password o controllare i movimenti bancari.
Cercare di minimizzare o rinviare è la scelta peggiore: le violazioni emergono comunque e il danno reputazionale di un occultamento supera di gran lunga quello della violazione stessa.
Prepararsi prima
La differenza fra una gestione ordinata e il panico si costruisce prima:
- Un elenco di contatti: chi decide, chi fa l'analisi tecnica, il consulente privacy, eventualmente il legale.
- Un modulo interno di segnalazione, così che chiunque possa avvisare rapidamente.
- Registri di accesso attivi e conservati: senza log, ricostruire cosa è successo è quasi impossibile e la valutazione del rischio diventa indifendibile.
- Una breve formazione al personale: molte violazioni vengono scoperte da chi nota qualcosa di strano, ma solo se sa a chi dirlo.
- Un registro interno delle violazioni, dove annotare anche quelle non notificate: è previsto e va tenuto.
Conclusione
Nelle prime 72 ore contano tre cose: contenere senza distruggere le prove, valutare il rischio in modo documentato e notificare quando serve. Tutto il resto si costruisce prima, con log attivi e una procedura scritta. Se volete preparare la parte tecnica — tracciamento degli accessi, procedura di risposta, verifica dei backup — possiamo affiancarvi.