DOMANDA: quali sono le principali criticità nella gestione degli incidenti da data breach?

Risponde Alessandro Papini

Di fronte a un data breach, le prime 72 ore sono cruciali. È imperativo implementare un piano di risposta agli incidenti che preveda identificazione, contenimento e valutazione del danno. Spesso, la risposta è problematicata dalla mancanza di una comunicazione interna chiara, rendendo difficile coordinare il team di risposta e coinvolgere il DPO in modo efficace. È necessario definire le responsabilità e predisporre risorse per una pronta analisi forense.

L'approfondimento: cosa fare subito dopo la scoperta del breach?

Un'azione rapida è fondamentale. Subito dopo la scoperta, conviene attuare misure di contenimento per prevenire ulteriori perdite. Il DPO deve essere coinvolto immediatamente per avviare la valutazione del rischio e decidere la notifica al Garante, considerando che la notifica deve avvenire senza ingiustificato ritardo, e comunque entro 72 ore se persiste una probabilità di rischio elevato per i diritti degli interessati. Se il rischio è basso, le tempistiche di notifica possono estendersi.

Il dettaglio normativo: quando notificare al garante e agli interessati?

Secondo l'art. 33 del GDPR, la notifica al Garante è obbligatoria se il data breach comporta un rischio per i diritti e le libertà degli interessati. Inoltre, l'art. 34 prevede l'obbligo di comunicare il breach agli interessati solo se esiste un rischio elevato. È cruciale documentare l'incidente, incluse le valutazioni di rischio e le misure correttive intraprese, per garantire accountability.

Nel caso di breach causato da un fornitore esterno, la responsabilità può ricadere sia sull'azienda committente che sul fornitore stesso, a seconda della natura del contratto e delle misure di sicurezza attuate. Infine, è importante non dimenticare le lezioni apprese e la minimizzazione del danno post-breach attraverso l'implementazione di misure correttive e il ripristino della fiducia tra gli utenti.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.