Violazione dei dati personali: come costruire una procedura chiara in azienda

01

La risposta in breve

Titolari e responsabili del trattamento dovrebbero pianificare in anticipo procedure per individuare e contenere rapidamente una violazione, valutare il rischio per le persone e decidere se notificare l'Autorità di protezione dei dati e comunicare l'incidente agli interessati.

Se la tua azienda agisce come responsabile del trattamento, tre regole restano fisse: documentare ogni violazione, notificarla all'Autorità entro 72 ore salvo rischio improbabile, e comunicarla alle persone senza indebito ritardo quando il rischio è elevato.

02

Cosa conta come violazione dei dati

Una violazione dei dati personali è una violazione della sicurezza che comporta distruzione, perdita, alterazione, divulgazione non autorizzata o accesso illegale ai dati personali. Non riguarda solo la perdita di dati: comprende incidenti che colpiscono riservatezza, integrità o disponibilità, sia per errore (email al destinatario sbagliato, chiavetta USB persa) sia per atti deliberati come il phishing.

03

I passi da mettere in sequenza

Passaggi

1. Individuare e contenere l'incidente non appena viene rilevato
2. Valutare il rischio concreto per le persone fisiche coinvolte
3. Notificare l'Autorità di protezione dei dati entro 72 ore, salvo rischio improbabile
4. Comunicare agli interessati senza indebito ritardo se il rischio è elevato
5. Documentare sempre dettagli, valutazione, effetti e misure adottate, anche senza notifica

04

Un esempio ipotetico

Ipotesi: un dipendente di una PMI invia per errore un elenco clienti a un destinatario esterno sbagliato. Il team rileva l'invio, blocca l'accesso al file dove possibile e valuta se i dati esposti (nomi, contatti) comportano un rischio per le persone. Se il rischio non è escludibile, l'azienda notifica l'Autorità entro 72 ore e valuta se informare i clienti coinvolti, documentando ogni fase.

05

Controlli di prevenzione e verifica

• Identificatore univoco per ogni utente e autenticazione per accedere ai sistemi
• Profili di autorizzazione separati in base alle esigenze reali
• Riesame periodico delle autorizzazioni e rimozione di quelle obsolete
• Crittografia dei dati e pseudonimizzazione dove possibile
• Politica di sicurezza dedicata per telelavoro e dispositivi personali (BYOD)

06

Cosa può configurare un'azienda con il supporto di un partner software

Un'azienda può chiedere al proprio partner software di predisporre un registro tracciabile degli incidenti, con campi per data di rilevazione, descrizione, persone coinvolte, valutazione del rischio e misure adottate. Ruoli distinti (chi rileva, chi valuta, chi notifica) e uno storico consultabile aiutano a rispettare la disciplina di documentazione richiesta, che resta comunque una scelta operativa da definire con il professionista di riferimento.

07

Domande frequenti

Ogni incidente di sicurezza è una violazione dei dati? No: tutte le violazioni dei dati personali sono incidenti di sicurezza, ma non ogni incidente di sicurezza coinvolge dati personali.

Bisogna sempre informare le persone interessate? No, solo quando il rischio per loro è elevato; in alcuni casi, come dati cifrati con chiavi non compromesse, la comunicazione individuale non è necessaria ma va garantita un'informazione altrettanto efficace.

Va documentata anche una violazione non notificata? Sì: l'articolo 33 comma 5 richiede di documentare almeno i dettagli fondamentali, la valutazione, gli effetti e le misure adottate.

08

Prossimo passo pratico

Prepara oggi una bozza di procedura interna con i cinque passi indicati e assegna un responsabile per ciascuna fase, così da poter reagire senza esitazioni quando serve.