Violazione di dati personali: quando si notifica e cosa si comunica
Le 72 ore per la notifica di un data breach al Garante decorrono da quando lo studio raggiunge un ragionevole grado di certezza che una violazione di dati personali si è verificata, non da quando qualcosa smette di funzionare. Fra i due momenti passano ore, a volte giorni. Stabilire in anticipo dove cade quel confine è la parte della procedura che poi serve sul serio, perché nel mezzo di un incidente nessuno si mette a leggere l'art. 33 del Regolamento UE 2016/679.
L'obbligo tocca lo studio due volte: come titolare dei dati dei propri clienti, e come difensore di chi chiama il lunedì mattina con il gestionale cifrato da un ransomware e chiede cosa deve firmare entro giovedì.
Cos'è una violazione: non solo l'attacco informatico
Per l'art. 4, n. 12 del GDPR la violazione di dati personali è la violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Due parole pesano più delle altre, accidentale e perdita: non serve un attaccante, e non serve che i dati escano dallo studio.
| Tipo di violazione | Esempi ricorrenti in studio |
|---|---|
| Riservatezza | PEC con gli allegati di una pratica al destinatario sbagliato; indirizzi dei clienti in copia visibile anziché nascosta; cartella condivisa aperta a tutto lo studio |
| Integrità | modifica non autorizzata di un'anagrafica o di un atto; sovrascrittura di una versione con dati errati |
| Disponibilità | ransomware che cifra le pratiche; cancellazione senza backup ripristinabile; smarrimento dell'unico esemplare cartaceo |
La violazione di disponibilità è quella che gli studi tendono a non riconoscere: un ransomware che blocca l'accesso alle pratiche per cinque giorni lo è, anche se il perito accerta che nulla è stato esfiltrato.
Le 72 ore: da quando decorrono davvero
Il termine parte dalla conoscenza, non dalla certezza tecnica: il titolare è consapevole quando ha un ragionevole grado di certezza che un incidente ha compromesso dati personali. Una finestra di verifica iniziale è ammessa, purché breve e documentata: serve a capire se una violazione c'è stata, non a stabilirne la portata.
- Portatile rubato dall'auto. Si è consapevoli subito, appena si sa che conteneva dati e non è recuperabile. Non si attende la denuncia.
- PEC al destinatario sbagliato. Da quando la segreteria se ne accorge o il destinatario lo segnala.
- Ransomware. Dalla rilevazione della cifratura, non dalla consegna del rapporto forense, che arriva settimane dopo.
- Avviso del fornitore. L'art. 33, par. 2 impone al responsabile del trattamento di informare il titolare senza ingiustificato ritardo, e il conteggio dello studio parte da quel messaggio. Per questo l'atto di nomina ex art. 28 dovrebbe fissare un termine espresso (24 o 48 ore) e un canale dedicato.
Le 72 ore sono solari, non lavorative: sabato, domenica e festivi contano, e una violazione rilevata venerdì alle 18 scade lunedì alle 18. Se il termine salta, la notifica va comunque presentata, corredata dei motivi del ritardo (art. 33, par. 1). Presentarla in ritardo è una circostanza da spiegare, non presentarla è un'omissione.
La valutazione del rischio che decide se notificare
La notifica è dovuta salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati. La formula è costruita al contrario rispetto a come la si legge di solito: l'esonero va argomentato, non presunto.
| Notifica al Garante (art. 33) | Comunicazione all'interessato (art. 34) | Registro (art. 33, par. 5) | |
|---|---|---|---|
| Presupposto | salvo sia improbabile un rischio | solo se il rischio è elevato | sempre, per ogni violazione |
| Termine | senza ingiustificato ritardo, ove possibile entro 72 ore | senza ingiustificato ritardo | nessun termine espresso: si documenta mentre si gestisce |
| Esoneri | rischio improbabile | dati cifrati con chiave non compromessa; misure successive che scongiurano il rischio; sforzo sproporzionato, con comunicazione pubblica in alternativa | nessuno |
I criteri sono quelli delle linee guida del Comitato europeo per la protezione dei dati: tipo di violazione, natura e volume dei dati, facilità di identificazione degli interessati, gravità delle conseguenze, categorie particolari di interessati, numero di coinvolti.
Per uno studio legale l'esito è quasi sempre lo stesso, e conviene saperlo prima. I dati delle pratiche ricadono spesso negli artt. 9 e 10 (salute, condanne penali, reati) e sono comunque coperti dal segreto professionale. Il solo elenco dei nomi dei clienti di un penalista, se finisce fuori, è già un'informazione che li espone: la strada dell'improbabilità del rischio, qui, è stretta.
Un'attenuante reale esiste ed è tecnica: dati cifrati con algoritmo robusto e chiave rimasta integra, come il portatile rubato con cifratura del disco attiva. Anche lì la valutazione va scritta: senza documentazione, la decisione di non notificare non è difendibile. Se il trattamento colpito era già passato da una valutazione d'impatto, i rischi censiti lì sono il punto di partenza e fanno risparmiare mezza giornata.
Notifica data breach al Garante: cosa contiene, e cosa fare se i dati mancano
L'art. 33, par. 3 elenca quattro contenuti minimi: natura della violazione, con categorie e numero approssimativo di interessati e di registrazioni coinvolte; punto di contatto (il DPO, se nominato, o altro riferimento); conseguenze probabili; misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Si trasmette con la procedura telematica sul sito del Garante, accedendo con identità digitale, e va sottoscritta dal titolare o dal legale rappresentante.
Il punto che blocca più spesso è il primo, perché nelle prime 48 ore quasi nessuno sa quanti interessati siano coinvolti. L'art. 33, par. 4 consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo: si presenta una notifica preliminare con quello che si sa e la si integra a verifiche chiuse. Meglio un numero dichiarato come stima, con il criterio di calcolo (le caselle interessate, le pratiche in quella cartella, i record esportati dal log), che una notifica rinviata in attesa di precisione.
Da evitare: scrivere che non c'è stata esfiltrazione quando si è solo constatato che non ci sono prove del contrario. Il Garante confronta la preliminare con l'integrazione, e una descrizione che si aggrava di colpo pesa più di una prudente fin dall'inizio.
Quando va informato anche l'interessato
La comunicazione all'interessato (art. 34) scatta su una soglia più alta, il rischio elevato, e non ha il termine delle 72 ore: va fatta senza ingiustificato ritardo, con linguaggio semplice e chiaro, indicando punto di contatto, conseguenze probabili e misure adottate. Se il titolare non provvede, il Garante può ordinarglielo (art. 34, par. 4).
Per lo studio significa dire a un cliente che i suoi atti sono stati esposti: una conversazione da preparare prima, con un testo già impostato in cui restano da riempire i fatti. Il cliente che lo apprende da un terzo diventa un problema deontologico oltre che privacy.
Il registro delle violazioni: obbligatorio anche senza notifica
L'art. 33, par. 5 impone di documentare qualsiasi violazione, comprese quelle non notificate perché il rischio è stato ritenuto improbabile. È l'obbligo che salta più spesso, ed è la prova dell'accountability richiesta dall'art. 5, par. 2.
Per ogni evento il registro dovrebbe riportare:
- data e ora dell'evento e della scoperta, e come se ne è avuta notizia;
- descrizione dei fatti, sistemi e archivi coinvolti;
- categorie e numero approssimativo di interessati e di registrazioni;
- cause accertate o ipotizzate, misure di contenimento e tempistica;
- la valutazione del rischio, i criteri applicati e l'esito;
- la decisione di notificare o non notificare, con la motivazione, e chi l'ha assunta;
- eventuale comunicazione agli interessati e sua data;
- correttivi introdotti dopo l'evento.
Uno scambio di email fra il titolare e il consulente informatico non è un registro: serve un documento unico, reperibile da chi non era presente quel giorno. Le sanzioni per la violazione degli artt. 33 e 34 rientrano nella fascia dell'art. 83, par. 4, lett. a): fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo se superiore.
Per compilare le voci su categorie e numeri servono i log: senza tracciamento degli accessi non si risponde alla domanda più semplice del modulo, quali dati e di quante persone. Un sistema documentale che registra chi ha aperto, scaricato e modificato ogni file riduce quella ricostruzione a una ricerca; le altre misure a monte stanno nella checklist di sicurezza dei dati dello studio.
Quando lo studio è responsabile, o assiste chi ha subito la violazione
Non tutte le violazioni che passano dallo studio sono violazioni dello studio. Se il mandato consiste nel gestire il canale whistleblowing di un'azienda ai sensi del D.lgs 24/2023, o un'altra attività in cui finalità e mezzi li determina il cliente, lo studio agisce come responsabile: il termine corre in capo al cliente, e l'obbligo dello studio è informarlo senza ingiustificato ritardo. La qualificazione va scritta nell'atto di nomina, e sul whistleblowing va coordinata con il modello organizzativo 231 dell'azienda, di cui il canale interno fa parte.
Quando lo studio assiste il titolare colpito, le prime ore vanno su quattro cose: ricostruire la cronologia della conoscenza, individuare chi è titolare e chi responsabile lungo la catena dei fornitori, impostare la notifica preliminare, decidere sulla comunicazione agli interessati. Il rapporto tecnico redatto in quei giorni può finire nel procedimento, quindi va scritto come un documento destinato all'autorità. E se il cliente rientra nel perimetro NIS2 (D.lgs 138/2024), la segnalazione al CSIRT Italia ha tempi propri e non sostituisce quella al Garante.
La procedura interna da scrivere prima che serva
Una pagina basta, e va provata almeno una volta.
- Chi riceve la segnalazione. Una casella e un numero presidiati, noti a collaboratori, praticanti e segreteria, attivi anche il venerdì sera.
- Chi decide. Un nome e un sostituto, non "la direzione": chi valuta il rischio e chi firma la notifica.
- Un termine interno più stretto di quello legale. Valutazione chiusa entro 24 ore dalla scoperta, così restano 48 ore per redigere e trasmettere.
- L'elenco dei fornitori che trattano dati per lo studio, con obbligo contrattuale di avviso, recapiti di emergenza e tempi pattuiti.
- Il modulo del registro già impostato, e il modello di comunicazione all'interessato.
- Le credenziali per la procedura telematica del Garante, in capo ad almeno due persone: scoprire il martedì che l'unico abilitato è in ferie costa ore che non ci sono.
Per sapere se regge, basta darla a chi non l'ha scritta e chiedergli di simulare una PEC partita all'indirizzo sbagliato. Se dopo dieci minuti sta ancora cercando chi chiamare, il documento serve a poco.
L'errore che costa di più non è sforare di qualche ora. È arrivare alla scadenza con una descrizione approssimativa, perché nessuno sa dire quali documenti fossero in quella cartella e chi vi abbia avuto accesso negli ultimi sei mesi. Quel dato o esiste già nei log, o non lo si costruisce in tre giorni. Il resto degli obblighi privacy sta nella guida agli adempimenti GDPR dello studio legale; backup verificati, cifratura e tracciabilità degli accessi rientrano nel servizio di sicurezza dei dati di Quantum.
Questo articolo ha finalità informative e non sostituisce la valutazione del caso concreto. Per capire come sono tracciati oggi gli accessi alle pratiche del tuo studio, scrivici.
