Notifica data breach 72 ore: cosa fare subito nello studio
Notifica data breach 72 ore: cosa fare subito nello studio
Sei pronto se dovesse accadere a te?
Il gestionale non si apre e sullo schermo compare una richiesta di riscatto. Oppure un collaboratore ha mandato la dichiarazione dei redditi di un cliente all’indirizzo sbagliato, o il portatile dello studio è sparito dall’auto. In quel momento la domanda è una sola: cosa devo fare, ed entro quando? Questo articolo parte da lì, dal professionista che ha appena scoperto un incidente e deve muoversi in fretta. Il riferimento è la notifica data breach entro 72 ore, cioè la segnalazione di una violazione dei dati prevista dal GDPR, il Regolamento europeo sulla protezione dei dati personali: un termine breve, che lascia poco spazio all’improvvisazione. Quanto segue non è una consulenza legale: per il caso concreto serve il parere di un avvocato o del DPO, il responsabile della protezione dei dati, se lo studio lo ha nominato.
Cos'è un data breach in uno studio professionale?
È qualsiasi violazione di sicurezza che porta, per errore o per un’azione illecita, alla distruzione, perdita, modifica, divulgazione o consultazione non autorizzata di dati personali. Non serve un attacco da film: in uno studio i casi tipici sono un ransomware, cioè un programma malevolo che cifra i file e li rende inaccessibili chiedendo un riscatto, un laptop rubato, una mail con documenti inviata al destinatario sbagliato o un accesso abusivo al gestionale. Ciò che accomuna questi episodi è che compromettono almeno una di tre caratteristiche dei dati: la riservatezza (qualcuno vede ciò che non dovrebbe), l’integrità (i dati vengono alterati) o la disponibilità (non si riesce più a usarli). Per questo anche un semplice errore d’invio conta come violazione, e va gestito con lo stesso metodo di un attacco informatico.
Notifica data breach 72 ore: da quando parte il termine?
Il conto parte quando c’è una ragionevole certezza che la violazione sia avvenuta, non quando il tecnico ha finito l’analisi completa. Il GDPR chiede al titolare del trattamento, cioè a chi decide come e perché usare i dati, di notificare la violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. Aspettare di avere il quadro completo significa perdere ore preziose, perché nel frattempo il tempo scorre. Le 72 ore sono poi ore solari: contano sabato, domenica e festivi, quindi un incidente scoperto il venerdì sera va gestito nel fine settimana. A livello europeo si discute una proposta per portare il termine a 96 ore, ma per ora resta una proposta e vale il limite di 72. Conviene annotare subito data e ora della scoperta: saranno il riferimento per calcolare la scadenza.
Se è un ransomware, cosa faccio nei primi minuti?
Secondo le indicazioni degli esperti, il primo gesto è isolare i dispositivi colpiti: staccare il cavo di rete e disattivare il Wi-Fi, senza spegnere né riavviare il computer. Spegnere sembra la reazione più naturale, ma rischia di cancellare informazioni presenti in memoria che servono a ricostruire cosa è successo. Subito dopo va chiamato un tecnico informatico, meglio se esperto di sicurezza, prima di tentare ripristini fai-da-te. L’origine può essere un episodio banale, come il clic di un collaboratore su un’email di phishing, cioè un messaggio truffaldino che imita un mittente affidabile per rubare credenziali o installare programmi dannosi. Anche in quel caso la violazione riguarda lo studio: il titolare risponde anche degli incidenti causati da errori di dipendenti e collaboratori, e gli obblighi verso il Garante non cambiano.
Devo sempre notificare al Garante?
No, non sempre: la notifica non è dovuta quando è improbabile un rischio per i diritti e le libertà delle persone coinvolte. Il Garante Privacy è l’autorità italiana che vigila sul rispetto delle norme sulla protezione dei dati, ed è a lui che, negli altri casi, va inviata la notifica prevista dall’articolo 33 del GDPR. La valutazione del rischio va fatta caso per caso, guardando ai dati coinvolti e alle possibili conseguenze per le persone, insieme a un legale o al DPO. Se non si riesce a rispettare le 72 ore, la notifica va inviata lo stesso, accompagnata dai motivi del ritardo. L’invio avviene tramite la procedura telematica indicata sul sito del Garante (gpdp.it): conviene controllare in anticipo quali informazioni vengono richieste, per non doverlo scoprire mentre il tempo scorre.
Devo avvisare anche tutti i clienti?
Solo se la violazione presenta un rischio elevato per le persone: è quanto prevede l’articolo 34 del GDPR. Nel linguaggio della norma i clienti, e chiunque sia identificabile dai dati, sono gli interessati, cioè le persone a cui i dati si riferiscono. La comunicazione diretta è quindi un passo in più rispetto alla notifica al Garante, riservato ai casi più seri. Esistono anche degli esoneri, per esempio quando i dati erano cifrati, cioè protetti da crittografia, e la chiave per decifrarli non è stata compromessa. È il caso di un portatile rubato con il disco cifrato e la password al sicuro: chi lo trova non può leggere i file. Al contrario, un elenco di clienti finito online o documenti fiscali inviati all’indirizzo sbagliato richiedono una valutazione attenta, da fare con il consulente legale prima di scrivere a chiunque.
Perché documentare anche le violazioni non notificate?
Perché il GDPR, all’articolo 33 paragrafo 5, chiede di documentare ogni violazione, anche quella non notificata, indicando la motivazione della scelta. Il registro delle violazioni è lo strumento che, in caso di verifica, mostra come lo studio abbia valutato l’episodio invece di ignorarlo. Per i commercialisti, il Consiglio nazionale dei dottori commercialisti e degli esperti contabili (CNDCEC) ha pubblicato una guida sulla privacy che tratta anche la gravità del data breach e la notifica al Garante. Alcune polizze cyber includono poi l’incident response, cioè l’assistenza tecnica e legale nella gestione dell’incidente, e le spese di notifica, ma cosa è coperto dipende sempre dalla singola polizza. Per capire quanto è esposto il tuo studio, la linea rischi speciali di Bencan è un buon punto di partenza: l’agenzia può valutare con te i rischi concreti della tua attività e una copertura adeguata.