Dopo un attacco con furto di dati hai 72 ore, da quando ne hai ragionevole certezza, per notificare la violazione al Garante, salvo che un rischio per le persone sia improbabile. Se il rischio è elevato devi avvisare anche gli interessati, senza ritardo. Se la tua azienda rientra nella NIS2, c'è anche una pre-notifica a CSIRT Italia entro 24 ore.
- Notifica al Garante: Entro 72 ore dalla scoperta, salvo rischio improbabile (art. 33 GDPR)
- Come si notifica: Con la procedura online sul sito del Garante privacy
- Avviso agli interessati: Solo se il rischio è elevato, senza ingiustificato ritardo (art. 34 GDPR)
- Se sei soggetto NIS2: Pre-notifica a CSIRT Italia entro 24 ore, notifica entro 72 ore (D.Lgs. 138/2024)
- Registro interno: Ogni violazione va documentata, anche se non notificata (art. 33, par. 5)
- Sanzione massima: Fino a 10 milioni di euro o al 2% del fatturato mondiale (art. 83 GDPR)
Le prime 24 ore: cosa fare subito
Le prime ore decidono se riuscirai a notificare nei tempi e con informazioni corrette. Questi passaggi si fanno in parallelo, tra IT e direzione.
- 01Annota l'ora della scoperta. Da lì partono le 72 ore. Scrivi chi se ne è accorto, quando e come.
- 02Contieni l'attacco. L'IT isola i sistemi colpiti, cambia le credenziali compromesse e blocca gli accessi anomali.
- 03Conserva le prove. Log, email sospette, messaggi di riscatto: non cancellare nulla, servono per la notifica e per un'eventuale denuncia.
- 04Capisci quali dati sono coinvolti. Clienti, dipendenti, fornitori; dati di contatto, bancari, sanitari; quante persone, anche in modo approssimativo.
- 05Valuta il rischio per le persone. Furto d'identità, frodi, danni alla reputazione. Da questa valutazione dipendono notifica e comunicazione agli interessati.
- 06Coinvolgi subito un legale. Serve a decidere se notificare, cosa scrivere e cosa dire ai clienti, mentre l'IT lavora sulla parte tecnica.
Chi avvisare e entro quando
I termini non sono tutti uguali. La tabella mette insieme i destinatari più frequenti per una PMI.
| Chi | Quando serve | Entro quando | Norma |
|---|---|---|---|
| Garante privacy | Sempre, salvo rischio improbabile per le persone | 72 ore dalla scoperta | Art. 33 GDPR |
| Persone i cui dati sono stati violati | Se il rischio è elevato | Senza ingiustificato ritardo | Art. 34 GDPR |
| CSIRT Italia | Se l'azienda rientra nella NIS2 e l'incidente è significativo | Pre-notifica entro 24 ore, notifica entro 72 ore | D.Lgs. 138/2024 |
| Registro interno delle violazioni | Sempre | Appena possibile | Art. 33, par. 5 GDPR |
| Polizia Postale | Se c'è un reato, come estorsione o accesso abusivo | Il prima possibile | Facoltativo, ma utile |
| Assicurazione cyber | Se hai una polizza | Nei termini della polizza | Contratto |
Se non sai se la tua azienda rientra nella NIS2, la verifica dipende da settore e dimensione. Puoi approfondire nell'area Tech, AI & cyber.
Quando la notifica al Garante non serve
La notifica non è dovuta se è improbabile che la violazione comporti un rischio per i diritti delle persone. Il caso tipico sono dati cifrati con un sistema robusto, la cui chiave non è stata sottratta.
La decisione va motivata e scritta. Anche quando non notifichi, la violazione entra nel registro interno con i fatti, le conseguenze e le misure prese. È il primo documento che il Garante chiede in caso di controllo.
Cosa scrivere nella notifica
La notifica al Garante deve contenere almeno quattro informazioni. Se non le hai tutte entro 72 ore, puoi integrarle dopo.
- Natura della violazione: cosa è successo, quali categorie di dati e quante persone, anche in modo approssimativo
- Contatti: il DPO, se nominato, o un'altra persona di riferimento
- Conseguenze probabili per le persone coinvolte
- Misure adottate o proposte per rimediare e per limitare i danni
La comunicazione agli interessati, quando serve, va scritta in linguaggio semplice. Deve dire cosa è successo, cosa rischiano e cosa possono fare, per esempio cambiare password o controllare l'estratto conto.
Cosa rischi se non notifichi
Omettere o ritardare la notifica senza motivo espone a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Nella pratica il Garante valuta soprattutto come l'azienda ha gestito l'incidente: tempestività, trasparenza e misure prese.
Come interviene Iusful
Nella gestione del data breach di Iusful l'avvocato è assegnato entro 24 ore. Ti dice se il caso è da notificare, cosa scrivere al Garante e cosa comunicare agli interessati. La risposta tecnica all'attacco resta al tuo IT.
Dopo l'emergenza conviene rivedere il registro dei trattamenti e i contratti con i fornitori che trattano dati per tuo conto, perché lì si decide quanto velocemente saprai della prossima violazione.
Domande frequenti
Sì. Il termine è in ore, non in giorni lavorativi, e parte da quando hai una ragionevole certezza che i dati siano stati compromessi. Se l'attacco emerge il venerdì sera, la scadenza cade il lunedì sera. Se non riesci a rispettarla, la notifica tardiva va accompagnata dai motivi del ritardo.
Dipende. Se i dati erano cifrati con un sistema robusto e la chiave non è stata compromessa, il rischio per le persone può essere improbabile e la notifica al Garante può non servire. La violazione va comunque annotata nel registro interno, con il ragionamento che ti ha portato a non notificare.
Notifica l'azienda titolare dei dati, cioè tu. Il fornitore, come responsabile del trattamento, deve avvisarti senza ingiustificato ritardo appena scopre la violazione. Per questo il contratto con il fornitore deve dire come e in quanto tempo ti informa.
Sì. Il GDPR consente di notificare per fasi: invii entro le 72 ore quello che sai e integri dopo con le informazioni mancanti. È meglio una notifica incompleta nei tempi che una completa in ritardo.
Fonti e riferimenti normativi
- Regolamento (UE) 2016/679, GDPR, artt. 33, 34 e 83 (EUR-Lex)
- Garante privacy - Violazioni di dati personali (data breach)
- EDPB - Linee guida 9/2022 sulla notifica delle violazioni dei dati personali
- D.Lgs. 4 settembre 2024, n. 138 - Recepimento della direttiva NIS2 (Normattiva)
- ACN - Direttiva NIS2
- Iusful - Area Dati & privacy, gestione del data breach
Questo articolo ha carattere informativo e non sostituisce un parere legale sul tuo caso specifico.