Non è solo l’attacco informatico
È l’equivoco che fa perdere più tempo nel momento peggiore. «Violazione di dati personali» significa distruzione, perdita, modifica o divulgazione non autorizzata di dati personali — e nella casistica reale una parte importante degli episodi non ha niente a che vedere con un attacco.
- Una email con l’elenco dei clienti inviata all’indirizzo sbagliato.
- Un allegato mandato in copia visibile invece che in copia nascosta, che espone gli indirizzi di tutti i destinatari.
- Un portatile dimenticato in treno.
- Un disco di backup smarrito o smaltito senza cancellazione sicura.
- Un armadio di documenti lasciato accessibile durante un trasloco.
- Un ex collaboratore che accede ancora a una casella condivisa.
Tutte queste vanno valutate con lo stesso metro di un attacco informatico. La differenza la fa il rischio per le persone, non la spettacolarità dell’evento.
La cifratura cambia l’esito, davvero
È uno dei pochi casi in cui una misura tecnica semplice riduce direttamente un obbligo.
Un portatile aziendale smarrito senza cifratura è una violazione con un rischio concreto: chiunque lo trovi può leggere i dati. Lo stesso portatile con il disco cifrato rende quei dati incomprensibili, e questo pesa in modo decisivo nella valutazione del rischio.
Vale la pena dirlo esplicitamente perché è un argomento pratico più convincente di molti altri: cifrare i dispositivi non è un adempimento in più, è ciò che trasforma la perdita di un oggetto in una notifica che si può evitare.
Le settantadue ore, spiegate senza allarmismo
Il termine decorre da quando si acquisisce consapevolezza, non da quando è avvenuta. Ed è un termine per notificare, non per aver risolto: la notifica può essere scaglionata, integrando le informazioni man mano che si ricostruisce l’accaduto.
Il problema vero non è il termine: è arrivarci con informazioni sufficienti. Senza preparazione le prime settantadue ore si passano a capire cosa sia successo, e la notifica si fa incompleta o non si fa affatto.
Tre cose la rendono gestibile, e si preparano quando non serve:
Sapere quali dati stanno dove. È esattamente ciò che serve per dire se la violazione riguarda dati personali e quali. È anche il motivo pratico per cui il registro dei trattamenti va tenuto aggiornato invece di essere compilato una volta e archiviato.
Avere i registri attivi. Senza tracce non si ricostruisce l’accaduto, e senza ricostruzione non si può dire con onestà quali dati siano stati coinvolti.
Sapere chi decide. Chi valuta il rischio, chi firma la notifica, chi parla con le persone coinvolte. Senza questi nomi decisi prima, si perde tempo proprio quando non ce n’è.
Non tutto si notifica, ma tutto si valuta
Va notificata all’autorità la violazione che comporta un rischio per i diritti e le libertà delle persone. Se il rischio è improbabile, si può non notificare.
Ma la valutazione va fatta e va documentata, perché il principio di responsabilizzazione chiede di poter dimostrare le scelte, non soltanto di averle fatte. È qui che entra il documento che quasi nessuna azienda tiene: il registro delle violazioni, che raccoglie tutti gli episodi — anche quelli non notificati — con la motivazione della decisione presa.
È la prima cosa che viene chiesta se in seguito emerge un problema collegato, ed è anche quella che distingue un’azienda che ha valutato da una che non si è accorta.
Quando vanno informate anche le persone
Quando il rischio è elevato, oltre all’autorità vanno avvisati gli interessati, senza ingiustificato ritardo. È il passaggio con l’impatto reputazionale maggiore, e va preparato prima: il testo di quella comunicazione si scrive male sotto pressione, in un momento in cui l’azienda ha dieci urgenze contemporaneamente.
Il resto
Vedi anche l’incident response per la sequenza tecnica delle prime ore, la consulenza GDPR per gli adempimenti a monte e GAPOFF, dove il registro delle violazioni è un modulo invece che un file che nessuno riapre.
Il primo passo
Se una violazione è in corso, chiamateci prima di toccare i sistemi. Se invece volete arrivarci preparati, la valutazione di cosa manca — registri, inventario, procedura, nomi — è gratuita e senza impegno.