Una violazione di dati personali può assumere forme molto banali: un portatile contenente un file clienti rubato da un'auto, un'email inviata per errore alla lista di destinatari sbagliata, un plugin WordPress mal configurato che rende un database accessibile pubblicamente. In ciascuno di questi casi, il regolamento generale sulla protezione dei dati impone obblighi precisi, con scadenze strette che molte PMI scoprono solo nel momento in cui l'incidente si verifica.
Cosa qualifica il GDPR come violazione
Una violazione di dati, ai sensi dell'articolo 33 del GDPR, indica qualsiasi incidente di sicurezza che comporti in modo accidentale o illecito la distruzione, la perdita, l'alterazione, la divulgazione non autorizzata, o l'accesso non autorizzato a dati personali. Questa definizione ampia copre sia un attacco informatico sia un semplice errore umano, come un'email di newsletter inviata con i destinatari visibili in copia anziché in copia nascosta, esponendo così gli indirizzi di tutti i destinatari gli uni agli altri.
Il conto alla rovescia di 72 ore
Quando la violazione può comportare un rischio per i diritti e le libertà delle persone interessate, l'azienda titolare del trattamento deve notificare l'incidente all'autorità di controllo senza ingiustificato ritardo, e se possibile entro settantadue ore da quando ne è venuta a conoscenza. Questo termine non decorre dal momento in cui si verifica l'incidente tecnico, ma da quando l'azienda ne acquisisce una conoscenza ragionevolmente certa, il che può creare ambiguità quando la scoperta stessa è progressiva. La notifica può essere effettuata in più fasi: una dichiarazione iniziale entro settantadue ore, anche incompleta, seguita da informazioni integrative man mano che l'indagine avanza, invece di attendere un'analisi esaustiva prima di qualsiasi dichiarazione.
Non tutte le violazioni si trattano allo stesso modo
La risposta attesa dipende dal livello di rischio valutato per le persone interessate. Una violazione giudicata priva di rischio plausibile per le persone, ad esempio un file cifrato perso senza chiave di decifratura accessibile, deve semplicemente essere registrata in un registro interno delle violazioni, senza notifica all'autorità di controllo. Una violazione che presenti un rischio deve inoltre essere notificata entro il termine di settantadue ore. Una violazione che presenti un rischio elevato, ad esempio l'esposizione di dati bancari o dati sanitari, impone inoltre di informare individualmente ciascuna persona interessata, senza ingiustificato ritardo.
Cosa deve contenere la notifica
La notifica all'autorità di controllo, presentata tramite il servizio online dedicato, deve descrivere la natura della violazione, le categorie e il numero approssimativo di persone interessate, le probabili conseguenze dell'incidente, nonché le misure già adottate o previste per porvi rimedio e limitarne gli effetti. Una notifica tardiva resta possibile ma deve essere accompagnata dai motivi che giustificano tale ritardo, il che non esonera dall'obbligo ma può potenzialmente attenuarne le conseguenze se il ritardo è giustificato.
Perché le PMI sono particolarmente esposte
Le piccole strutture rappresentano una quota significativa delle violazioni dichiarate ogni anno in Francia, spesso perché dispongono di mezzi di sicurezza più limitati rispetto a una grande azienda, pur non essendo per questo esonerate dagli stessi obblighi legali. Un sito WordPress con un plugin obsoleto, una password di amministrazione debole, o un fornitore esterno mal regolato dal punto di vista contrattuale, rappresentano punti di ingresso frequenti per questo tipo di incidente tra liberi professionisti e PMI.
Prepararsi prima che l'incidente si verifichi
Tenere aggiornato un registro dei trattamenti di dati, documentare le misure di sicurezza in essere, e preparare in anticipo un modello di notifica tipo permettono di reagire più rapidamente il giorno in cui un incidente si verifica realmente, invece di scoprire la procedura con urgenza. Per una PMI priva di un responsabile della protezione dei dati interno, individuare in anticipo un contatto legale o tecnico capace di accompagnare questo percorso evita di perdere tempo prezioso su un termine che si conta in ore piuttosto che in giorni.
Punti da verificare prima della pubblicazione: confermare che il termine di settantadue ore e i tre livelli di rischio descritti in questo articolo corrispondano ancora alla formulazione in vigore degli articoli 33 e 34 del GDPR alla data di pubblicazione, e verificare che l'indirizzo del servizio online di notifica dell'autorità di controllo resti esatto e accessibile.