Che cos’è un data breach e cosa bisogna fare entro 72 ore?
Anche: Violazione dei dati personali · Notifica data breach
Definizione
Un data breach è una violazione di sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali. Se presenta un rischio per le persone va notificato al Garante entro 72 ore da quando se ne è venuti a conoscenza, e nei casi gravi comunicato agli interessati.
Redazione Enterprise Srl · Aggiornato il
In breve
- Notifica al Garante
- entro 72 ore dalla scoperta, salvo rischio improbabile (art. 33)
- Comunicazione agli interessati
- se il rischio è elevato (art. 34)
- Documentazione
- tutte le violazioni, anche non notificate (art. 33.5)
Non solo attacchi informatici
Una violazione può colpire la riservatezza (dati visti da chi non doveva: email al destinatario sbagliato, accesso abusivo), l’integrità (dati alterati) o la disponibilità (dati persi o inaccessibili, come in un attacco ransomware o dopo il furto di un portatile senza backup). Molti data breach nascono da errori umani, non da hacker.
Cosa fare quando succede
- Contenere la violazione e raccogliere le informazioni: cosa è successo, quali dati, quante persone, quali conseguenze possibili.
- Valutare il rischio per gli interessati, coinvolgendo il DPO se nominato.
- Se il rischio non è improbabile, notificare al Garante con la procedura online entro 72 ore; se alcune informazioni mancano, si possono fornire in un secondo momento. Una notifica tardiva va motivata.
- Se il rischio è elevato, informare senza ritardo le persone coinvolte, con indicazioni utili a proteggersi.
- Annotare la violazione nel registro interno, anche quando non si notifica.
Per i soggetti NIS2 un incidente significativo ha anche tempi propri verso il CSIRT Italia: pre-notifica entro 24 ore e notifica entro 72.
Accorgersene in tempo
Le 72 ore decorrono dalla conoscenza della violazione: senza log e monitoraggio molte violazioni emergono dopo settimane, e diventa difficile anche capire cosa è stato colpito.