DOMANDA: quali sono le principali criticità nella gestione degli incidenti di data breach?

Risponde Alessandro Papini

Quando si verifica un data breach, la gestione della situazione nelle prime 72 ore è cruciale per limitare i danni e adempiere alle normative vigenti. La prima criticità risiede nella valutazione della gravità dell'incidente. È fondamentale comprendere se il breach comporti un rischio elevato per i diritti e le libertà degli interessati, il che determina se notificare o meno il Garante e quando. Un'altra sfida comune è la tempestività della comunicazione agli interessati, che deve avvenire senza indugi e in modo chiaro. Questo richiede una preparazione e una strategia predefinita, per evitare di operare in maniera improvvisata. Infine, non va trascurata l'importanza di documentare ogni passaggio, poiché una corretta tracciabilità è indispensabile per dimostrare l'adeguatezza delle misure adottate.

L'approfondimento: quali sono i requisiti per la notifica al garante?

Il termine di 72 ore è una soglia critica. Se, ad esempio, non è possibile stabilire con certezza una compromissione dei dati, è opportuno avviare una valutazione approfondita prima di procedere con la notifica al Garante. In mancanza di un rischio per gli interessati, non è obbligatorio informare l'autorità. Ma ci sono situazioni in cui, anche in assenza del rischio, una notifica può risultare pertinente, specialmente per motivi di trasparenza. È quindi essenziale un confronto continuo tra i team IT e legali per decidere il da farsi.

Il dettaglio normativo: quali articoli regolano la notifica degli incidenti?

I riferimenti normativi principali si trovano nel Regolamento (UE) 2016/679, in particolare negli articoli 33 e 34. L'articolo 33 stabilisce l'obbligo di notifica di un incidente al Garante entro 72 ore dalla scoperta, a meno che non sia improbabile che il breach comporti un rischio per i diritti e le libertà delle persone fisiche. L'articolo 34, invece, implica l'obbligo di informare gli interessati quando il rischio è elevato. Preparare una strategia di gestione degli incidenti è quindi non solo consigliabile, ma fondamentale nel garantire la compliance.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.