DOMANDA: quali sono le principali criticità nella gestione di un data breach?

Risponde Pierpaolo Benzi

La gestione di un data breach è un processo complesso che inizia immediatamente dopo la scoperta del problema. Un errore comune è quello di considerare il termine delle 72 ore come un momento isolato, ma in realtà questo periodo è il culmine di un’analisi costante. È fondamentale effettuare un'analisi del rischio per comprendere l'impatto dei dati compromessi. Durante questo periodo, la documentazione interna deve essere meticolosa, poiché sarà cruciale per eventuali verifiche da parte del Garante della Privacy.

L'approfondimento: cosa fare davvero in caso di data breach?

È essenziale notificare al Garante nei casi in cui il breach comporti un rischio per i diritti e le libertà degli interessati. Questo può includere situazioni come la compromissione di dati sensibili. In altri casi, ad esempio se i dati sono stati criptati in modo adeguato, potrebbe non essere necessario alcun avviso. La comunicazione agli interessati deve essere chiara e tempestiva, informando su cosa è successo e quali misure sono state adottate.

Il dettaglio normativo: quali articoli del GDPR si applicano?

I riferimenti principali si trovano negli articoli 33 e 34 del GDPR. L’articolo 33 stabilisce l’obbligo di notifica al Garante, mentre l’articolo 34 specifica i requisiti per la comunicazione agli interessati. In caso di un breach da fornitore esterno, la responsabilità ricade non solo sull’azienda, ma anche sul fornitore stesso, richiedendo un’analisi approfondita dei contratti di data processing. L'implementazione di misure correttive e il minimizzare il danno post-breach devono diventare parte integrante delle operazioni quotidiane per una corretta gestione della privacy.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.