Articolo Pubblicazioni

GDPR e data breach: notifica entro 72 ore, valutazione del rischio e registro delle violazioni

di · Pubblicato il 28 settembre 2018 - Aggiornato il 14 novembre 2026 · Tratto da «Il nuovo regolamento europeo sulla protezione dei dati personali»

Abstract

L’articolo riprende l’intervento «Il nuovo regolamento europeo sulla protezione dei dati personali» del settembre 2018, pochi mesi dopo l’entrata in applicazione del GDPR. Riassume gli elementi di continuità con la direttiva 95/46/CE e le novità, dall’accountability al responsabile della protezione dei dati, dalla valutazione d’impatto al registro dei trattamenti. Si concentra poi sulla gestione dei data breach, con le cinque fasi del processo, i fattori per valutare il rischio, i contenuti della notifica all’autorità di controllo e della comunicazione agli interessati e il registro delle violazioni.

Vincenzo Calabrò | GDPR e data breach: notifica entro 72 ore, valutazione del rischio e registro delle violazioni
 

Dalla direttiva al regolamento

Il Regolamento UE 2016/679 si applica dal 25 maggio 2018 e sostituisce la direttiva 95/46/CE. Molti elementi restano gli stessi, cioè gli attori del trattamento, titolare, responsabile e interessato, i presupposti di liceità, i requisiti di qualità dei dati, l’informativa, i diritti dell’interessato e le regole per il trasferimento verso Paesi terzi. Le categorie particolari si estendono ai dati genetici e biometrici.
Cambia l’impostazione. La direttiva disegnava un rapporto bipolare fra titolare e interessato, aveva una dimensione nazionale e un quadro prevalentemente prescrittivo, fondato sul controllo. Il regolamento è sovranazionale, considera una relazione con più soggetti e si basa sulla valutazione del rischio e sulla responsabilizzazione, l’accountability. Il titolare deve garantire la conformità ed essere in grado di dimostrarla, adottando misure tecniche e organizzative adeguate alla natura, all’ambito, al contesto e alle finalità del trattamento e ai rischi per i diritti e le libertà delle persone.

Gli strumenti dell’accountability

  • Il responsabile della protezione dei dati (DPO), obbligatorio per le pubbliche amministrazioni, per chi monitora in modo regolare e sistematico gli interessati su larga scala e per chi tratta su larga scala categorie particolari di dati o dati giudiziari. Deve essere indipendente e competente, consiglia il titolare, sorveglia il rispetto del regolamento, esprime un parere sulle valutazioni d’impatto e fa da punto di contatto con l’autorità e con gli interessati;
  • La valutazione d’impatto (DPIA), la procedura che descrive un trattamento per valutarne necessità, proporzionalità e rischi e stabilire le misure per affrontarli. Si svolge prima del trattamento quando questo presenta un rischio elevato, resta sotto la responsabilità del titolare anche se la conduce un altro soggetto e va riesaminata a intervalli regolari;
  • Il registro delle attività di trattamento, in forma scritta anche elettronica, che dà un quadro aggiornato dei trattamenti, serve all’analisi del rischio e va esibito su richiesta al Garante.
Tra i diritti degli interessati il regolamento rafforza la cancellazione, con l’obbligo di informare gli altri titolari che trattano gli stessi dati, introduce la limitazione del trattamento, più ampia del vecchio blocco, e la portabilità, cioè il diritto di ricevere i propri dati in un formato interoperabile e di trasferirli a un altro titolare.

La sicurezza del trattamento

Le misure di sicurezza si scelgono tenendo conto dello stato dell’arte, dei costi di attuazione e dei rischi, di probabilità e gravità diverse, per i diritti e le libertà delle persone. I rischi da considerare sono la distruzione, la perdita, la modifica, la divulgazione non autorizzata e l’accesso, accidentali o illeciti, ai dati trasmessi, conservati o comunque trattati. Il regolamento indica la pseudonimizzazione e la cifratura, la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi, la capacità di ripristinare tempestivamente i dati dopo un incidente e procedure per verificare regolarmente l’efficacia delle misure. A queste si aggiungono la protezione dei dati fin dalla progettazione e per impostazione predefinita e la scelta di responsabili del trattamento che offrano garanzie sufficienti.

Che cos’è un data breach

L’art. 4, punto 12, definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Il titolare deve dotarsi delle misure per rilevarla subito, e negli accordi con i responsabili del trattamento conviene prevedere obblighi specifici di informazione quando sono loro ad accorgersene.

Le fasi della gestione

  1. Rilevamento della violazione, con strumenti e procedure che la facciano emergere il prima possibile;
  2. Contenimento, rimuovendo le cause, limitando gli effetti per gli interessati con interventi come il cambio delle password, la sospensione di un servizio o il blocco del traffico di rete, ripristinando l’operatività, raccogliendo e conservando le prove digitali e attivando le procedure di escalation;
  3. Valutazione del rischio, considerando il tipo di violazione, la natura e il volume dei dati, il numero e le caratteristiche degli interessati, la facilità di identificarli, la gravità delle conseguenze e le caratteristiche del titolare;
  4. Notifica e comunicazione, all’autorità di controllo e, quando serve, agli interessati;
  5. Documentazione, che accompagna tutte le fasi precedenti.

Notifica entro 72 ore e comunicazione agli interessati

Quando la violazione presenta un rischio per i diritti e le libertà delle persone, il titolare la notifica all’autorità di controllo, in Italia il Garante, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Se non dispone subito di tutte le informazioni può notificare per fasi, e per violazioni ripetute, ravvicinate e di natura simile è ammessa una notifica cumulativa. La notifica descrive la natura della violazione, il numero e le categorie di interessati e di dati coinvolti, indica un punto di contatto, di solito il DPO, e le misure adottate per porre rimedio alla violazione e attenuarne gli effetti.
Se il rischio è elevato, il titolare informa anche gli interessati senza ingiustificato ritardo, preferibilmente con canali diretti come email o SMS e con un linguaggio semplice e chiaro. La comunicazione riporta la natura della violazione, il punto di contatto e le misure adottate.

Il registro delle violazioni

Il titolare documenta tutte le violazioni, anche quelle che non ha notificato, per esempio in un registro dei data breach. Per ogni violazione si annotano data e ora, il momento in cui il titolare ne ha avuto conoscenza, la documentazione raccolta, le conseguenze per gli interessati e le misure adottate. Conviene registrare anche le ragioni delle decisioni prese, come la valutazione del rischio, e i motivi di un eventuale ritardo nella notifica o nella comunicazione. Il registro è la prova che il processo ha funzionato, e l’autorità può chiederlo per verificare il rispetto del regolamento.

Codici di condotta e certificazioni

L’adesione a un codice di condotta approvato o a un meccanismo di certificazione è un elemento che il titolare e il responsabile possono usare per dimostrare la conformità, anche in materia di sicurezza, di protezione fin dalla progettazione e di garanzie per il trasferimento verso Paesi terzi, e di cui si tiene conto nel calcolo delle sanzioni. I codici sono elaborati dalle associazioni di categoria e approvati dall’autorità competente, nazionale o europea, e possono riguardare anche la notifica delle violazioni. Nel 2018 il Comitato europeo per la protezione dei dati stava ancora lavorando alle linee guida su certificazioni, organismi di accreditamento e codici di condotta.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn