Data breach in Comune: le 72 ore che contano

Una PEC al destinatario sbagliato è già una violazione: come riconoscere un data breach, valutarlo e gestire la notifica al Garante entro le 72 ore previste.

Nell'immaginario, il data breach è un attacco informatico: sistemi bloccati, riscatti, titoli di giornale. Nella realtà di un Comune, la violazione di dati personali ha quasi sempre facce più ordinarie: la PEC con l'elenco dei beneficiari spedita al destinatario sbagliato, il fascicolo dei servizi sociali smarrito, la delibera pubblicata all'albo senza gli omissis, la chiavetta persa, l'accesso di un operatore a dati che non doveva consultare.

Il GDPR le considera tutte violazioni: ogni compromissione di riservatezza, integrità o disponibilità dei dati personali, accidentale o meno. E per tutte prevede lo stesso meccanismo di reazione, con un orologio che parte presto.

Cosa chiede il GDPR, esattamente

L'articolo 33 impone al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza — a meno che sia improbabile che la violazione presenti un rischio per le persone. Quando il rischio è elevato, l'articolo 34 aggiunge la comunicazione agli interessati, perché possano proteggersi. E ogni violazione, notificata o no, va documentata in un registro interno: è la prova che l'ente ha valutato, anche quando ha concluso che la notifica non serviva.

Le 72 ore decorrono dalla conoscenza, non dall'evento: per questo il primo anello della catena è interno, ed è il più fragile. Un ente in cui l'operatore non sa di dover segnalare subito l'incidente al referente giusto ha già perso il conto alla rovescia prima di iniziarlo.

Conviene chiarire anche il perimetro dei fornitori: quando l'incidente avviene nei sistemi di un responsabile esterno — il gestore dell'applicativo, il servizio in cloud — è il fornitore a doverlo comunicare all'ente senza ritardo, e i contratti di nomina dovrebbero dirlo espressamente. Un titolare che scopre l'incidente dai giornali è un titolare che ha scritto male le proprie nomine.

Le 72 ore in pratica

Dentro la finestra, il lavoro ha una sequenza precisa, che conviene aver scritto prima sotto forma di procedura.

• Accorgersi e segnalare: chiunque rilevi l'incidente lo comunica subito al referente interno, senza filtri gerarchici che consumano ore
• Contenere e valutare: fermare la falla, capire quali dati e quante persone sono coinvolti, con quale gravità
• Decidere documentando: notifica al Garante, comunicazione agli interessati, o registrazione motivata della non notifica
• Rimediare e imparare: misure correttive e revisione di ciò che ha reso possibile l'incidente

La preparazione è tutto

La gestione di un breach si gioca prima del breach: una procedura scritta con ruoli chiari, il DPO coinvolto dal primo momento, un registro delle violazioni pronto a ricevere la documentazione, e — negli enti più maturi — qualche simulazione per scoprire in esercitazione ciò che sarebbe costoso scoprire dal vivo. Nulla di tutto questo richiede tecnologie esotiche: richiede che qualcuno ci abbia pensato a mente fredda.

C'è infine un cambio di prospettiva che aiuta: una violazione gestita bene — riconosciuta in fretta, valutata con metodo, notificata quando dovuto, documentata sempre — non è la prova che l'ente ha fallito. È la dimostrazione, agli occhi del Garante e dei cittadini, che il sistema di protezione funziona anche quando qualcosa va storto. È l'accountability nel suo momento più difficile: quello in cui si vede.