DOMANDA: quali sono le principali criticità nella gestione di un data breach?

Risponde Alessandro Papini

La gestione di un data breach è un processo complesso che richiede *prontezza e precisione*. Le principali criticità si manifestano nella tempestività della risposta: nel momento in cui un caso viene identificato, si attivano 72 ore cruciali. Non si tratta solo di notificare al Garante, ma di valutare il rischio per gli interessati e le conseguenti obbligazioni di notifica. Inoltre, è fondamentale assessare i danni, contenere le perdite e comunicare in modo trasparente con gli interessati.

L'approfondimento: come comunicare agli interessati?

La comunicazione agli interessati deve essere chiara e diretta. Le soglie di notificazione variano a seconda dell'impatto del breach. Se il rischio per i diritti e le libertà degli individui è alto, la notifica è obbligatoria. Va sottolineato che, anche se non sussiste l'obbligo di notifica, è sempre prudente informare i soggetti colpiti, per mantenere la fiducia e minimizzare conseguenze reputazionali. Documentare ogni fase dell'incidente è essenziale per prove future di conformità.

Il dettaglio normativo: quali articoli regolamentano la situazione?

Gli articoli 33 e 34 del GDPR disciplinano rispettivamente la notifica al Garante e agli interessati. L'articolo 33 richiede la notifica entro 72 ore dal momento in cui si è a conoscenza del breach, a meno che non sia improbabile che i dati personali siano stati compromessi. L'articolo 34 impone una comunicazione diretta agli interessati se il breach presenta un alto rischio per i loro diritti e libertà. Inoltre, va considerato il contesto dei fornitori esterni, dove la responsabilità ricade su chi gestisce i dati, a meno che non siano state prese tutte le misure preventive necessarie.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.