Che cosa fare nelle prime settantadue ore dopo una violazione di dati personali in studio?

Quando emerge una possibile violazione di dati personali, la prima risposta non è aspettare di avere tutti i dettagli: occorre fermare o limitare l'incidente, preservare le evidenze e attivare chi gestisce privacy, sistemi informatici e rapporto con i fornitori. Le settantadue ore previste dal GDPR sono un termine operativo stretto, non un tempo da usare per rimandare le decisioni.

Per uno studio professionale o una PMI, una checklist efficace distingue i fatti dalle ipotesi: che cosa è successo, quali trattamenti sono coinvolti, quali dati potrebbero essere stati esposti e quali misure sono già state applicate. TrattamentiInRegola costruisce registro dei trattamenti, nomine e informative passo passo, così da avere una base documentale ordinata anche durante la gestione di un incidente.

Che cosa è una violazione di dati personali e cosa non lo è

L'articolo 4, numero 12, del GDPR definisce la violazione di dati personali come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata oppure accesso non autorizzato ai dati personali trasmessi, conservati o comunque trattati.

Non si tratta quindi soltanto di furto di archivi, ransomware o accessi abusivi dall'esterno. Può esserci una violazione anche quando un file di clienti viene inviato al destinatario sbagliato, un fascicolo cartaceo è smarrito, una casella PEC resta accessibile a un ex collaboratore, un backup non è ripristinabile o un gestionale rimane indisponibile dopo un errore tecnico.

• Riservatezza: dati visti, copiati o ricevuti da chi non era autorizzato.
• Integrità: dati modificati, cancellati o alterati senza legittimazione.
• Disponibilità: dati non accessibili quando servono, anche senza prova di esfiltrazione.

Non ogni anomalia tecnica è automaticamente un data breach. Un tentativo di phishing bloccato prima dell'apertura dell'allegato, oppure un alert poi dimostrato infondato, non equivale necessariamente a una violazione. Anche in questi casi, però, annotare la verifica svolta aiuta a dimostrare attenzione organizzativa e a migliorare le misure di sicurezza.

Le prime due ore: contenere, isolare, annotare l'orario

Le prime due ore servono a evitare che un errore limitato diventi un incidente più esteso. Chi riceve la segnalazione deve attivare un canale interno chiaro: titolare del trattamento, referente IT, eventuale DPO, responsabile della sicurezza e, se coinvolto, fornitore che gestisce il servizio.

• Annotare data, ora della scoperta, persona che ha rilevato l'evento e sistemi interessati.
• Isolare account, dispositivi, cartelle condivise o collegamenti sospetti senza cancellare log e tracce utili.
• Revocare credenziali compromesse, cambiare password, invalidare sessioni e attivare autenticazione aggiuntiva quando appropriato.
• Bloccare invii, sincronizzazioni o accessi che potrebbero ampliare la divulgazione.
• Verificare backup, registri di accesso, destinatari di email e tempi di esposizione.
• Aprire una scheda di incidente con fatti accertati, azioni eseguite, soggetti coinvolti e informazioni ancora da verificare.

Il contenimento deve essere proporzionato e tracciabile. Riavviare un server o cancellare una casella senza prima raccogliere elementi essenziali può rendere più difficile capire che cosa sia avvenuto. Se il servizio è affidato a un responsabile esterno, il contratto o la nomina devono prevedere flussi di segnalazione praticabili, non formule generiche.

Ai sensi dell'articolo 33, paragrafo 2, il responsabile del trattamento informa il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. Vale quindi la pena verificare Quali contenuti deve avere l'atto di nomina a responsabile esterno previsto dall'articolo 28 del GDPR?, includendo contatti, tempi di escalation, collaborazione istruttoria e disponibilità di log.

Valutare il rischio per i diritti e le libertà degli interessati

Dopo il contenimento, il titolare valuta se la violazione possa presentare un rischio per i diritti e le libertà delle persone fisiche. Il giudizio non dipende soltanto dalla quantità di record coinvolti: un singolo fascicolo sanitario, una delega bancaria o una credenziale di accesso possono avere conseguenze rilevanti.

La valutazione deve considerare la natura del dato, la facilità di identificare la persona, il numero approssimativo di interessati, la durata dell'esposizione, la probabilità di accesso effettivo e le misure già presenti. Cifratura robusta, pseudonimizzazione effettiva, revoca tempestiva delle credenziali e recupero sicuro dei documenti possono ridurre il rischio, ma devono essere verificabili nel caso concreto.

Domande operative per la valutazione

• I dati permettono di identificare direttamente una persona o di ricostruirne profilo, situazione economica o professionale?
• Sono coinvolti dati relativi a salute, procedimenti, minori, coordinate bancarie, documenti di identità o credenziali?
• Il destinatario non autorizzato è noto e collaborativo, oppure i dati potrebbero essere stati diffusi o copiati?
• La violazione può favorire frodi, discriminazioni, furto di identità, danno reputazionale o perdita di controllo sui dati?
• Le persone interessate possono subire conseguenze concrete prima che lo studio riesca a porre rimedio?

La valutazione non richiede certezze assolute, ma un ragionamento motivato. È utile separare i dati confermati dalle stime prudenti e aggiornare l'analisi quando arrivano nuove evidenze. Il DPO, ove designato, può fornire consulenza e contribuire alla documentazione, mentre la decisione finale resta del titolare del trattamento.

Il registro dei trattamenti rende questa fase più rapida: aiuta a individuare finalità, categorie di interessati, basi organizzative, responsabili e sistemi coinvolti. Lo stesso vale per nuovi strumenti digitali: Quando l'intelligenza artificiale entra in studio, che cosa va aggiunto al registro dei trattamenti? è una domanda da affrontare prima che un incidente costringa a ricostruire il trattamento sotto pressione.

Quando la notifica al Garante è dovuta e quando basta l'annotazione

L'articolo 33 del GDPR richiede al titolare di notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne viene a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche.

Il termine decorre dunque dalla conoscenza dell'evento da parte del titolare, non dalla chiusura dell'indagine tecnica né dal momento in cui il fornitore conclude le proprie verifiche. Se la notifica avviene oltre le settantadue ore, occorre motivare il ritardo. Quando alcune informazioni mancano, il GDPR consente di fornire ulteriori elementi in fasi successive, senza attendere passivamente un quadro perfetto.

Esito della valutazione	Azione principale	Documentazione necessaria
Rischio improbabile	Nessuna notifica al Garante	Evento, analisi, misure e motivazione della scelta
Rischio per gli interessati	Notifica al Garante entro il termine applicabile	Notifica, integrazioni, evidenze e azioni correttive
Rischio elevato	Notifica al Garante e valutazione della comunicazione agli interessati	Analisi rafforzata, testo della comunicazione e prova dell'invio

La notifica deve contenere almeno la natura della violazione, incluse se possibile categorie e numero approssimativo degli interessati e delle registrazioni coinvolte; i contatti del DPO o di altro punto di contatto; le probabili conseguenze; le misure adottate o proposte per porre rimedio e attenuare effetti negativi. Le modalità aggiornate vanno sempre verificate sul sito del Garante.

La comunicazione agli interessati: quando serve e come si scrive

Ai sensi dell'articolo 34 del GDPR, quando la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare comunica la violazione agli interessati senza ingiustificato ritardo. La comunicazione ha una funzione concreta: permettere alle persone di proteggersi, per esempio cambiando credenziali, monitorando movimenti o prestando attenzione a contatti fraudolenti.

Il messaggio deve essere in linguaggio chiaro e semplice. Non deve minimizzare l'accaduto, ma neppure diffondere dettagli tecnici che favoriscano ulteriori abusi. Occorre indicare che cosa è successo, quali possibili effetti può avere, quali misure ha adottato lo studio e quali azioni prudenti sono consigliate agli interessati. Va indicato anche un contatto effettivamente presidiato.

• Usare oggetto e testo comprensibili, senza formule evasive.
• Distinguere fatti accertati da aspetti ancora oggetto di verifica.
• Indicare misure utili e proporzionate per la persona coinvolta.
• Conservare evidenza di contenuto, destinatari, data e canale di invio.

La comunicazione individuale può non essere richiesta, tra gli altri casi previsti dal GDPR, se i dati erano resi incomprensibili a chi non era autorizzato, se misure successive hanno eliminato il rischio elevato o se l'impegno individuale sarebbe sproporzionato e viene adottata una comunicazione pubblica efficace. Sono eccezioni da motivare, non scorciatoie automatiche.

Il registro delle violazioni e la documentazione da conservare

L'articolo 33, paragrafo 5, impone al titolare di documentare tutte le violazioni di dati personali, comprese quelle per cui non è stata presentata notifica al Garante. Il registro delle violazioni deve consentire all'autorità di verificare il rispetto dell'articolo 33: non è quindi un archivio di sole segnalazioni gravi.

Per ogni evento, la scheda interna dovrebbe mantenere una cronologia chiara e coerente con email, ticket IT, log, verbali e corrispondenza con fornitori. La documentazione serve anche alla gestione operativa: consente di individuare cause ricorrenti, formazione necessaria, misure mancanti e clausole contrattuali da aggiornare.

• Data e ora della scoperta, della conoscenza da parte del titolare e della chiusura dell'evento.
• Descrizione dell'incidente, trattamenti, sistemi e categorie di dati interessati.
• Valutazione del rischio, elementi esaminati e motivazione della notifica o della mancata notifica.
• Misure immediate, correttive e preventive, con responsabili e stato di attuazione.
• Copie della notifica, delle integrazioni e dell'eventuale comunicazione agli interessati.

Il registro delle violazioni deve dialogare con il registro dei trattamenti, senza confondersi con esso. Per scegliere un metodo adeguato alla dimensione e alla complessità dello studio, è utile chiedersi Conviene tenere il registro dei trattamenti su foglio di calcolo o su un software dedicato? Una soluzione strutturata riduce la dipendenza da file sparsi, versioni non controllate e ricostruzioni manuali.

In sintesi, nelle prime settantadue ore bisogna contenere l'evento, annotare subito i fatti, valutare il rischio, notificare il Garante quando necessario e documentare sempre la decisione. Una preparazione preventiva, con trattamenti mappati, nomine aggiornate e procedure testate, trasforma un momento critico in un processo governabile. Per organizzare documentazione e adempimenti con un metodo concreto, puoi scrivere dal modulo di contatto a Jimenez Julien.