Non riguarda solo gli attacchi. Una email inviata per errore alla persona sbagliata, un portatile smarrito non cifrato, un ransomware che rende inaccessibili i dati: sono tutte violazioni ai sensi del regolamento.
Quando c’è un rischio per i diritti delle persone coinvolte, la violazione va notificata al Garante entro settantadue ore dal momento in cui se ne è avuta conoscenza. Il termine è stretto, e va rispettato anche quando le cause non sono ancora chiare: si notifica quello che si sa e si integra dopo.
Perché conta per un’azienda
Nella confusione delle prime ore, sapere già chi decide, chi raccoglie le informazioni e chi notifica fa la differenza fra una gestione ordinata e settantadue ore perse a capire cosa fare.
L’errore che vediamo più spesso
Va tenuto un registro anche delle violazioni che non vengono notificate, con la motivazione della scelta. È una delle prime cose che vengono chieste in caso di controllo, e quasi nessuno lo tiene.