Se la tua azienda ha subito un attacco informatico che ha coinvolto dati personali — clienti, dipendenti, fornitori — il GDPR ti dà 72 ore dal momento in cui ne vieni a conoscenza per notificarlo al Garante per la Protezione dei Dati Personali. Non 72 ore da quando è avvenuto l’attacco, ma da quando tu (o la tua azienda) ve ne accorgete: è una differenza che cambia tutto, perché un hacker può essere entrato nei sistemi settimane prima che qualcuno se ne renda conto.
Il termine è fissato dall’articolo 33 del Regolamento UE 2016/679 (GDPR) e riguarda chiunque tratti dati personali come “titolare del trattamento”: aziende, professionisti, associazioni, enti pubblici. Se dopo una violazione i dati sono a rischio e non notifichi in tempo, l’obbligo mancato è di per sé una violazione autonoma, sanzionabile anche se poi si scopre che il danno concreto è stato limitato.
Non è l’unico orologio che può scattare: se la tua organizzazione rientra tra i soggetti coperti dalla normativa NIS2, potresti avere anche una scadenza di 24 ore per un primo allarme all’Agenzia per la Cybersicurezza Nazionale. E se vuoi perseguire penalmente chi ti ha attaccato, la querela ha un termine completamente diverso: tre mesi. Vediamo come distinguerli, perché è facile confonderli e sbagliare proprio nel momento in cui si è già sotto pressione.
Da quando partono davvero le 72 ore
Il countdown non parte dall’attacco, ma dalla “conoscenza” della violazione: il momento in cui tu o un tuo collaboratore avete una ragionevole certezza che si sia verificato un incidente che ha compromesso riservatezza, integrità o disponibilità di dati personali. In pratica, se il tuo IT nota accessi anomali di notte e li conferma come violazione la mattina dopo, le 72 ore partono da quella conferma.
Le ore, va detto, sono ore continuative e non giorni lavorativi: sabato, domenica e festivi non mettono in pausa il conteggio. Se scopri l’incidente venerdì sera, la scadenza cade comunque lunedì mattina presto, non lunedì a fine giornata. È uno degli errori più comuni: aspettare il primo giorno utile per “occuparsene con calma”.
Un altro punto che genera confusione è che la notifica non deve essere perfetta al primo invio. Il GDPR permette di notificare anche con informazioni parziali, spiegando cosa si sa e cosa si sta ancora verificando, e di integrare i dettagli in un secondo momento. Aspettare di avere il quadro completo prima di notificare è spesso l’errore che fa scadere il termine.
Chi è obbligato a notificare (e chi no)
L’obbligo ricade sul titolare del trattamento, cioè su chi decide finalità e modalità con cui i dati personali vengono trattati: la tua azienda, il tuo studio professionale, l’associazione di cui sei responsabile. Se usi un fornitore esterno (un gestionale cloud, un hosting, un servizio di email marketing) che subisce l’attacco, quel fornitore agisce come “responsabile del trattamento” e ha l’obbligo contrattuale di avvisarti senza ritardo — ma la notifica al Garante resta comunque una tua responsabilità, non sua.
Non tutte le violazioni vanno notificate. Se dopo una valutazione del rischio risulta improbabile che l’incidente comporti conseguenze per i diritti e le libertà delle persone coinvolte, la notifica non è obbligatoria — ma questa valutazione va documentata, perché in caso di controllo dovrai dimostrare di averla fatta correttamente e non di aver semplicemente deciso di non muoverti.
Cosa rischi se non rispetti le 72 ore
Le sanzioni per mancata o tardiva notifica rientrano nella fascia più alta prevista dal GDPR: fino a 10 milioni di euro o il 2% del fatturato annuo globale, a seconda di quale importo sia più alto. È una sanzione distinta da quella prevista per la violazione della sicurezza dei dati in sé: significa che puoi essere sanzionato due volte, una per non aver protetto adeguatamente i dati e una per non aver comunicato la violazione nei tempi.
In pratica il Garante valuta caso per caso, tenendo conto di fattori come la gravità della violazione, il numero di persone coinvolte, le misure di sicurezza già in atto e se l’azienda ha collaborato attivamente una volta scoperto il problema. Una notifica tardiva ma spontanea e trasparente viene generalmente valutata meglio di una violazione scoperta dal Garante per altre vie, ad esempio tramite un reclamo di un interessato.
Oltre alla sanzione economica, c’è un rischio reputazionale spesso sottovalutato: se la violazione comporta un rischio elevato per le persone, dovrai comunicarla anche direttamente agli interessati (clienti, utenti, dipendenti), non solo al Garante. Gestire male questa comunicazione, o farla trapelare prima che sia tu a darla, può pesare sulla fiducia dei clienti più della sanzione stessa.
GDPR non è l’unica scadenza: NIS2 e la denuncia penale
Se la tua organizzazione rientra tra i soggetti “essenziali” o “importanti” individuati dalla normativa NIS2 (energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione e altri settori critici), gli obblighi si sommano a quelli del GDPR: una prima segnalazione entro 24 ore dall’Agenzia per la Cybersicurezza Nazionale tramite CSIRT Italia, una notifica più dettagliata entro 72 ore e una relazione finale entro un mese. Sono procedure parallele a quella verso il Garante, non alternative.
C’è poi un terzo binario, completamente diverso nei tempi: la denuncia o querela penale contro chi ha condotto l’attacco, da presentare alla Polizia Postale. Per reati come l’accesso abusivo a sistema informatico o la frode informatica, che di norma si perseguono a querela di parte, il termine per sporgerla è di tre mesi dal momento in cui si viene a conoscenza del fatto — molto più ampio delle 72 ore GDPR. È importante non confondere i due termini: puoi tranquillamente notificare la violazione al Garante entro 72 ore e sporgere querela contro l’autore dell’attacco nelle settimane successive, mentre le indagini proseguono.
Cosa fare nelle prime 72 ore: la checklist essenziale
Appena sospetti o confermi un attacco, la priorità è contenere il danno prima ancora di scrivere la notifica: isolare i sistemi compromessi, cambiare le credenziali a rischio, coinvolgere chi si occupa di sicurezza informatica per capire l’estensione reale dell’incidente. In parallelo, va aperto un registro interno con orari e azioni intraprese: anche se decidi che la notifica non è necessaria, questo registro è ciò che dimostrerà la tua diligenza in caso di verifica.
Se la valutazione del rischio indica che la notifica è dovuta, meglio inviarla anche incompleta ma in tempo, integrandola successivamente, piuttosto che aspettare di avere tutte le risposte e sforare il termine. Nel dubbio, conviene coinvolgere subito un DPO (se presente in azienda) o un consulente privacy: la valutazione se notificare o meno è spesso più delicata della notifica stessa.
Domande frequenti
Le 72 ore valgono anche per un privato che subisce un furto di dati personali, ad esempio dell’email o dei social? No. L’obbligo di notifica in 72 ore riguarda chi tratta dati personali come titolare del trattamento, quindi tipicamente aziende, professionisti ed enti — non riguarda il singolo cittadino vittima di un attacco alla propria mail o al proprio profilo social, che può comunque sporgere denuncia alla Polizia Postale.
Se scopro l’attacco durante il weekend, le 72 ore sono sospese fino al lunedì? No, il termine corre in ore continuative, non in giorni lavorativi: weekend e festivi non fermano il conteggio.
Cosa succede se notifico in ritardo ma spiego perché? Il Garante valuta caso per caso: un ritardo motivato e una notifica spontanea, anche se tardiva, vengono generalmente considerati con maggiore favore rispetto a una violazione mai comunicata e scoperta in altro modo. Non elimina il rischio di sanzione, ma può incidere sulla sua entità.
Devo notificare anche se non sono sicuro che i dati siano stati effettivamente sottratti? Se c’è un rischio ragionevole che la sicurezza dei dati sia stata compromessa, conviene notificare comunque, anche con informazioni parziali da integrare in seguito, piuttosto che attendere una certezza che potrebbe arrivare oltre il termine.
In sintesi
Le 72 ore del GDPR partono da quando scopri la violazione, non da quando avviene, e corrono senza pause nel weekend. Sbagliare la valutazione o rimandare la notifica espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale, indipendentemente dalla querela penale contro l’attaccante, che segue tempi e regole del tutto diversi.
Sources:
- Data Breach GDPR: Sanzioni e Notifica al Garante in 72 Ore
- Notifica incidenti NIS2: 24, 72 ore e 1 mese
- Denuncia per hackeraggio
Scarica la nostra app e ricevi notizie, curiosità, misteri, scoperte e tecnologia direttamente sul tuo smartphone.
Scarica per Android
Mi occupo di fornire agli utenti delle news sempre aggiornate, dal gossip al mondo tech, passando per la cronaca e le notizie di salute. I contenuti sono, in alcuni casi, scritti da più autori contemporaneamente vengono pubblicati su Veb.it a firma della redazione.
