Data breach: cosa fare nelle prime 72 ore

Il conto delle 72 ore parte da quando ne vieni a conoscenza, non da quando hai capito tutto. È il punto che più spesso manda in crisi le aziende davanti a un data breach: si aspetta di avere il quadro completo prima di muoversi, e intanto il tempo passa. Il GDPR non chiede di sapere tutto subito. Chiede di decidere in fretta, di notificare quello che sai e di completare il resto in un secondo momento.

In questa guida trovi cosa fare in concreto: quando scatta il termine, chi decide, come valutare se notificare al Garante, cosa serve subito e cosa può arrivare dopo, quando avvisare le persone e come tenere il registro delle violazioni. Trovi anche un esempio di timeline ora per ora e un confronto con la notifica degli incidenti prevista da NIS2, che è un obbligo diverso e parallelo. Se ti serve prima un ripasso su principi e obblighi generali, parti dalla nostra guida su cos'è il GDPR.

Cos'è un data breach e quando scatta l'obbligo di notifica?

Un data breach è una violazione di sicurezza che colpisce dati personali. Il GDPR, all'articolo 4, la definisce come la violazione che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Non serve un hacker: una mail con un allegato inviata al destinatario sbagliato è un data breach tanto quanto un ransomware.

L'obbligo di notifica è nell'articolo 33. Il titolare del trattamento notifica la violazione all'autorità di controllo, in Italia il Garante per la protezione dei dati personali, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. L'unica eccezione è quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se la notifica arriva dopo le 72 ore, va accompagnata dai motivi del ritardo.

Riservatezza, integrità, disponibilità

Le linee guida EDPB 9/2022 sulla notifica delle violazioni classificano i data breach in tre tipi, che è utile usare fin dalla prima ora. Una violazione di riservatezza è un accesso o una divulgazione non autorizzati: un database esfiltrato, una cartella condivisa per errore. Una violazione di integrità è una modifica non autorizzata dei dati. Una violazione di disponibilità è la perdita di accesso ai dati o la loro distruzione, anche temporanea.

Un singolo incidente può toccarne più di una. Un ransomware che cifra i server è una violazione di disponibilità; se l'attaccante ha anche copiato i dati, è anche di riservatezza, con un rischio molto più alto per le persone.

Incidente di sicurezza e data breach non sono sinonimi

Un attacco che blocca il sito vetrina senza toccare dati personali è un incidente di sicurezza, ma non fa scattare l'articolo 33. Al contrario, molti data breach non hanno nulla di informatico: un faldone del personale smarrito, una chiavetta USB non cifrata dimenticata in treno. La domanda da porti è sempre la stessa: sono coinvolti dati personali? Se sì, devi almeno documentare l'evento, anche quando concludi che non va notificato.

Da quando partono le 72 ore?

Le 72 ore partono dal momento in cui il titolare viene a conoscenza della violazione. Per l'EDPB questo accade quando il titolare ha una ragionevole certezza che un incidente di sicurezza abbia compromesso dati personali. Non serve conoscere la causa, il numero esatto di persone coinvolte o il colpevole.

Due esempi delle linee guida. Se perdi una chiavetta USB con dati non cifrati, sei consapevole quando ti accorgi di averla persa: forse non saprai mai se qualcuno l'ha letta, ma la perdita è certa. Se un cybercriminale chiede un riscatto e verifichi l'attacco, sei consapevole da quel momento.

Il breve periodo di indagine non è una scappatoia

Quando ricevi una segnalazione o un allarme, puoi svolgere un breve periodo di indagine per capire se la violazione c'è davvero. Durante questa verifica iniziale, secondo l'EDPB, non sei ancora considerato consapevole. L'indagine però deve iniziare il prima possibile e servire solo a stabilire se c'è stata una violazione; gli approfondimenti vengono dopo.

Qui molte aziende sbagliano. Trasformare la verifica in un'analisi forense di una settimana non sposta il punto di partenza: se la violazione c'era e non hai agito tempestivamente, per l'EDPB l'obbligo di notifica non è rispettato. L'allarme deve arrivare subito a chi può decidere.

Weekend e festivi contano

Le 72 ore sono ore di calendario. Il regolamento europeo sui termini (Regolamento 1182/71, a cui l'EDPB rimanda) stabilisce che nei periodi rientrano sabati, domeniche e festivi, salvo esclusione espressa. Una violazione scoperta il venerdì sera scade il lunedì sera, non il mercoledì.

Se chi può firmare la notifica è irraggiungibile nel fine settimana, il problema va risolto prima, con una delega scritta nella procedura.

Chi decide e chi fa cosa nelle prime ore?

La responsabilità della notifica è sempre del titolare del trattamento, cioè dell'azienda che decide finalità e mezzi del trattamento. Può delegare l'esecuzione, ma non la responsabilità. Per questo la prima cosa da sapere, prima di qualsiasi incidente, è chi all'interno dell'azienda prende la decisione di notificare o di non notificare.

Titolare, responsabile del trattamento e DPO

Se la violazione avviene presso un fornitore che tratta dati per tuo conto (il gestionale in cloud, il consulente paghe), quel fornitore è un responsabile del trattamento. L'articolo 33, paragrafo 2, gli impone di informarti senza ingiustificato ritardo, senza valutare il rischio al posto tuo. Secondo l'EDPB, di regola diventi consapevole quando il fornitore ti informa.

Il contratto con il fornitore, previsto dall'articolo 28, è il posto giusto per fissare tempi di avviso, contenuti minimi e referenti. Il fornitore può anche notificare per tuo conto, se il contratto lo prevede, ma la responsabilità legale resta tua. Se hai un DPO, l'EDPB raccomanda di coinvolgerlo subito e lungo tutto il processo: i suoi dati di contatto, o quelli di un altro punto di contatto, sono uno degli elementi obbligatori della notifica.

Il team di risposta: ruoli minimi

Una PMI non ha bisogno di un comitato di crisi, ma di nomi. Servono almeno quattro funzioni, anche nella stessa persona:

• chi decide: il titolare o un suo delegato con il potere di notificare e di firmare;

• chi indaga: IT interno o fornitore tecnico, per contenere l'incidente e raccogliere le evidenze;

• chi valuta il rischio per le persone: DPO o referente privacy, con il supporto del legale se serve;

• chi comunica: verso il Garante, verso gli interessati e, se necessario, verso clienti e partner.

Un dettaglio spesso trascurato: nel modulo del Garante la notifica è effettuata dal rappresentante legale o da un suo delegato, che firma digitalmente seguendo le istruzioni ricevute via email. Delega e firma vanno preparate prima.

Notificare o no? Come valuti il rischio

Non tutte le violazioni vanno notificate al Garante. L'obbligo scatta salvo che sia improbabile un rischio per i diritti e le libertà delle persone. La comunicazione agli interessati scatta invece solo quando c'è un rischio elevato. Le soglie quindi sono due, e la valutazione va fatta caso per caso.

Tre esiti possibili

L'EDPB suggerisce di ragionare su tre livelli: nessun rischio probabile, rischio, rischio elevato. Nel primo caso documenti la violazione nel registro interno e motivi la scelta di non notificare. Nel secondo notifichi al Garante. Nel terzo notifichi al Garante e comunichi la violazione alle persone coinvolte.

Gli elementi da considerare sono concreti: tipo di dati (sanitari, finanziari, credenziali), numero di persone, facilità di identificarle, gravità delle conseguenze (furto d'identità, frode, discriminazione), soggetti vulnerabili, misure già in atto come la cifratura dei dati. Se il risultato è incerto, la scelta prudente è notificare: l'EDPB ricorda che non ci sono sanzioni per aver notificato un incidente che poi si rivela non essere una violazione.

Due casi tratti dalle linee guida EDPB 01/2021

Le linee guida EDPB 01/2021 raccolgono casi pratici con l'esito della valutazione. Nel primo caso di ransomware, i dati sono cifrati dall'attaccante, i log dimostrano che non c'è stata esfiltrazione e i dati vengono ripristinati rapidamente da un backup integro: l'esito indicato è la sola documentazione interna, senza notifica né comunicazione agli interessati.

In un altro, il server di un'azienda di trasporti viene cifrato senza backup e i dati vengono esfiltrati: documentazione interna, notifica al Garante e comunicazione agli interessati, anche pubblica per chi non è raggiungibile. La differenza non sta nell'attacco, ma in due misure preparate prima: backup verificati e log in grado di dimostrare cosa è uscito.

Cosa notificare subito e cosa completare dopo

La regola che sblocca le prime 72 ore è l'articolo 33, paragrafo 4: se non puoi fornire tutte le informazioni insieme, puoi fornirle in fasi successive, senza ulteriore ingiustificato ritardo. L'EDPB lo conferma: il quadro incompleto non è un motivo per rimandare la notifica, e i numeri possono essere approssimativi.

Il contenuto minimo della notifica

L'articolo 33, paragrafo 3, indica cosa deve contenere la notifica. Descrive la natura della violazione, con le categorie e il numero approssimativo di interessati e di registrazioni coinvolte. Indica il nome e i contatti del DPO o di un altro punto di contatto. Descrive le probabili conseguenze. Descrive le misure adottate o proposte per porre rimedio e attenuare gli effetti.

Entro le 72 ore di solito hai: cosa è successo, quando lo hai scoperto, sistemi e tipi di dati coinvolti, una stima del numero di persone, le prime misure di contenimento. Spesso arrivano dopo la causa tecnica, la conferma dell'esfiltrazione, il numero esatto di record e le misure correttive definitive.

Notifica preliminare e notifica integrativa al Garante

Il modulo del Garante traduce questa logica: alla prima notifica scegli tra completa e preliminare. La notifica preliminare serve proprio quando avvii il processo senza un quadro completo, impegnandoti a integrarlo. Con la notifica integrativa aggiungi le informazioni mancanti usando il numero di fascicolo e il PIN ricevuti via email al termine della prima notifica.

Conserva quella email e indica fin dalla prima notifica che seguiranno ulteriori informazioni, come raccomanda l'EDPB.

Come si invia: la procedura telematica

Dal 1° luglio 2021 la notifica al Garante si invia esclusivamente tramite la procedura telematica disponibile sul portale dei servizi online dell'Autorità, raggiungibile dalla pagina dedicata al data breach. Sullo stesso portale trovi uno strumento di autovalutazione che aiuta a capire quali azioni intraprendere dopo una violazione.

Il fac-simile del modulo pubblicato dal Garante non si usa per l'invio, ma è utile prima: leggilo con il tuo team e prepara le risposte stabili, come dati del titolare, contatti del DPO e descrizione dei sistemi.

Esempio: una timeline ora per ora

Prendiamo un'azienda tipo: una PMI di servizi con 60 dipendenti e un portale clienti. Il venerdì alle 17:30 il fornitore che gestisce i server segnala traffico anomalo in uscita dal database del portale. La tabella mostra una sequenza realistica; i tempi interni sono un esempio, l'unico termine fissato dalla legge è quello delle 72 ore.

Due cose da notare. La prima: l'ora zero non è l'allarme delle 17:30, ma il momento in cui la verifica iniziale dà una ragionevole certezza. La seconda: la notifica parte il sabato con informazioni incomplete, e va bene così. Se il fornitore avesse avvisato solo il martedì, l'ora zero per il titolare sarebbe stata quella del suo avviso: per questo i tempi di avviso del responsabile vanno scritti nel contratto.

Quando devi avvisare anche le persone coinvolte?

L'articolo 34 impone di comunicare la violazione agli interessati quando è suscettibile di presentare un rischio elevato per i loro diritti e libertà. La comunicazione va fatta senza ingiustificato ritardo e, in alcuni casi evidenti, come un rischio immediato di furto d'identità, l'EDPB ammette che avvenga anche prima della notifica al Garante.

La comunicazione usa un linguaggio semplice e contiene almeno natura della violazione, contatto del DPO o di un referente, probabili conseguenze e misure adottate. Aggiungi consigli pratici: cambiare la password, diffidare di email che chiedono dati di pagamento.

Quando la comunicazione non serve

L'articolo 34, paragrafo 3, prevede tre casi in cui la comunicazione agli interessati non è richiesta. Il primo: i dati erano protetti da misure che li rendono incomprensibili a chi non è autorizzato, come una cifratura adeguata con chiave non compromessa. Il secondo: dopo la violazione hai adottato misure che scongiurano il rischio elevato. Il terzo: la comunicazione individuale richiederebbe sforzi sproporzionati; in questo caso serve però una comunicazione pubblica altrettanto efficace.

Come comunicare bene

L'EDPB raccomanda messaggi dedicati, non inseriti in una newsletter; un comunicato stampa o un post sul blog, da soli, non bastano. Se è stata compromessa la casella email aziendale, usarla per avvisare i clienti aiuta chi vuole spacciarsi per te: scegli un canale non compromesso.

Il registro delle violazioni: anche quando non notifichi

L'articolo 33, paragrafo 5, impone di documentare qualsiasi violazione, comprese le circostanze, le conseguenze e i provvedimenti adottati. Vale anche per le violazioni che non notifichi: è proprio questa documentazione che permette al Garante di verificare che la tua valutazione sia stata corretta.

L'EDPB consiglia di registrare anche il ragionamento: perché hai ritenuto improbabile il rischio, perché hai notificato in ritardo, perché hai deciso di non comunicare agli interessati. Il registro può essere un documento a sé o parte del registro dei trattamenti, purché le informazioni sulle violazioni siano chiaramente identificabili ed estraibili su richiesta.

Una buona riga di registro indica: ora della scoperta e ora zero, descrizione e tipo di violazione, dati e persone coinvolte, valutazione del rischio motivata, decisioni su notifica e comunicazione con date, misure adottate. Compilata durante l'incidente, diventa la tua traccia delle decisioni se l'autorità fa domande.

Data breach e NIS2: due notifiche diverse, da non confondere

Se la tua azienda è un soggetto essenziale o importante ai sensi del D.Lgs. 138/2024, che recepisce la direttiva NIS2, hai un secondo obbligo di notifica, distinto da quello del GDPR. L'articolo 25 del decreto impone di notificare a CSIRT Italia, istituito presso l'Agenzia per la cybersicurezza nazionale, gli incidenti significativi, cioè quelli che hanno un impatto rilevante sulla fornitura dei tuoi servizi.

Lo stesso incidente, due orologi

Un ransomware in un'azienda soggetta a NIS2 può essere insieme un incidente significativo e un data breach. In quel caso fai due notifiche separate, a due autorità diverse. L'EDPB lo dice chiaramente: la notifica in base alla normativa NIS non sostituisce quella al Garante.

Entrambi gli orologi partono dalla conoscenza, ma di due cose diverse: l'incidente significativo per NIS2, la compromissione di dati personali per il GDPR. Possono coincidere oppure no. Il primo termine che scade è la pre-notifica a 24 ore verso CSIRT Italia, che quindi detta il ritmo delle prime ore. Se vuoi approfondire come impostare la gestione degli incidenti per NIS2 dentro un sistema di gestione, leggi la nostra guida su ISO 27001 e NIS2.

Quali sono gli errori più comuni?

Il primo errore è aspettare il quadro completo: le 72 ore servono a notificare ciò che sai, non a finire l'indagine, e la notifica in fasi esiste per questo. Il secondo è non sapere chi decide: senza un mandato chiaro, una delega e una firma digitale pronte, l'allarme rimbalza tra IT, amministrazione e direzione.

Il terzo è dimenticare i fornitori. Se il contratto con un responsabile del trattamento non dice in quanto tempo e con quali informazioni deve avvisarti, scopri la violazione tardi. Rivedere i contratti dei fornitori più critici è tempo ben speso. Il quarto è non registrare le violazioni minori, come la mail al destinatario sbagliato risolta con una telefonata. Il quinto è confondere GDPR e NIS2, facendo una sola notifica o dimenticando la pre-notifica a 24 ore.

Infine, provare la procedura solo durante un incidente vero. Un'esercitazione su uno scenario come quello della timeline fa emergere in un'ora i problemi che altrimenti scopriresti di venerdì sera, e puoi integrarla nel tuo piano di business continuity.

Come ti aiuta Complaion a prepararti a un data breach

Le prime 72 ore si giocano quasi tutte prima dell'incidente: procedura, ruoli, deleghe, contratti con i fornitori, registro, criteri di valutazione del rischio. Nel percorso GDPR con Complaion ti segue un Lead Auditor dedicato, che analizza come tratti oggi i dati e ti aiuta a impostare la procedura di gestione delle violazioni: chi decide, entro quando i fornitori devono avvisarti, come si valuta il rischio, cosa scrivere nel registro. Ti propone il percorso più adatto alle esigenze della tua azienda, anche quando GDPR e NIS2 vanno gestiti insieme.

La piattaforma raccoglie le evidenze, gestisce i documenti, dalla procedura al registro delle violazioni, tiene lo scadenziario di riesami ed esercitazioni e prepara gli audit. Se ti serve un DPO, con il servizio di DPO esternalizzato Complaion assume il ruolo e ti affianca nei rapporti con il Garante e nelle notifiche di violazione, ferma restando la responsabilità del titolare. Oltre 1.000 clienti lavorano già con noi. Se vuoi capire se la tua procedura reggerebbe a un venerdì sera come quello dell'esempio, contattaci.

Domande frequenti sul data breach

Entro quando va notificato un data breach al Garante?

Senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Le 72 ore sono di calendario e comprendono weekend e festivi. Se notifichi oltre questo termine, devi indicare i motivi del ritardo. Le informazioni non disponibili subito possono essere fornite in fasi successive.

Da quando si contano le 72 ore?

Dal momento in cui hai una ragionevole certezza che un incidente di sicurezza abbia compromesso dati personali, secondo le linee guida EDPB. Non serve conoscere causa ed estensione. Un breve periodo di verifica iniziale è ammesso, ma deve partire subito. Se la violazione avviene presso un fornitore, di regola diventi consapevole quando lui ti avvisa.

Tutti i data breach vanno notificati?

No. La notifica al Garante non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Ogni violazione, però, va documentata nel registro interno con la motivazione della scelta. In caso di dubbio, notificare è la scelta più prudente.

Cosa succede se non ho tutte le informazioni entro le 72 ore?

Invii una notifica preliminare con ciò che sai e la completi con una o più notifiche integrative, come previsto dall'articolo 33, paragrafo 4. Il numero di persone e di record può essere indicato in modo approssimativo. Conviene dichiarare subito che seguiranno aggiornamenti.

Quando devo avvisare clienti, dipendenti o utenti?

Quando la violazione può presentare un rischio elevato per i loro diritti e libertà, ad esempio per furto d'identità, frode o diffusione di dati sanitari. La comunicazione va fatta senza ingiustificato ritardo, con un linguaggio semplice e consigli pratici. Non serve se i dati erano adeguatamente cifrati o se hai già eliminato il rischio elevato.

Il fornitore che subisce la violazione deve notificare al Garante?

Di regola no: il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo, ed è il titolare che valuta e notifica. Il fornitore può notificare per conto del titolare solo se il contratto lo prevede, e la responsabilità resta comunque al titolare. Per questo tempi e contenuti dell'avviso vanno fissati nel contratto.

Se sono un soggetto NIS2, la notifica a CSIRT Italia vale anche per il GDPR?

No. Sono due obblighi distinti, con autorità, criteri e tempi diversi. Per un incidente significativo invii a CSIRT Italia una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Se sono coinvolti dati personali, notifichi anche il Garante in modo separato secondo l'articolo 33 del GDPR.