Comunicare o no? La decisione legale più importante dopo un incidente di sicurezza

Come decidere se comunicare un incidente di sicurezza in Brasile?

La Risoluzione CD/ANPD n. 15/2024 impone nuovi criteri per la comunicazione obbligatoria. Valuta se l'incidente comporta rischi significativi per i diritti e le libertà degli interessati. In caso affermativo, comunica entro 3 giorni lavorativi all'ANPD e agli interessati. In caso di dubbio, consulta un legale specializzato in privacy.

Immagina: sono le 3 di notte, il tuo telefono squilla. Il CISO ti dice che c'è stato un attacco ransomware. I dati dei clienti sono criptati. La tua prima reazione? Comunicare subito all'ANPD o aspettare? La scelta è come scegliere tra un caffè amaro e uno zuccherato: entrambi ti svegliano, ma uno potrebbe darti bruciore di stomaco.

La nuova Risoluzione CD/ANPD n. 15/2024: cosa cambia?

Fino a poco fa, la comunicazione degli incidenti di sicurezza all'Autorità Nazionale di Protezione dei Dati (ANPD) era un po' come le istruzioni per montare un mobile Ikea: vaghe e piene di interpretazioni. Ora, con la Risoluzione n. 15/2024, i criteri e le tempistiche sono più chiari. Ma attenzione: chiarezza non significa semplicità.

La risoluzione stabilisce che l'incidente deve essere comunicato all'ANPD entro 3 giorni lavorativi dalla scoperta, se può comportare un rischio significativo per i diritti e le libertà degli interessati. Sembra facile, ma la parola chiave è 'significativo'. E qui inizia il dilemma.

Il test del 'rischio significativo'

Valutare se un incidente è 'significativo' è come decidere se un bicchiere d'acqua è mezzo pieno o mezzo vuoto: dipende dalla prospettiva. Per un'azienda, un attacco che coinvolge 1000 clienti può sembrare piccolo; per quei clienti, è un disastro. La risoluzione fornisce alcuni criteri: tipo di dati, volume, natura dell'incidente, misure di mitigazione. Ma alla fine, la decisione è tua.

E se sbagli? Se non comunichi quando dovevi, le sanzioni possono arrivare fino al 2% del fatturato annuo in Brasile (limite di 50 milioni di reais). Se comunichi inutilmente, rischi di allarmare l'autorità e i clienti per niente. Insomma, un bel rompicapo.

Come decidere? Un approccio pratico

Prima di tutto, non farti prendere dal panico. La risoluzione non richiede di comunicare ogni piccolo incidente. Un attacco di phishing che ha colpito solo un dipendente e non ha esposto dati? Probabilmente no. Ma se quel dipendente aveva accesso a dati sensibili di migliaia di persone? Allora sì.

Ecco una checklist mentale: 1) Quali dati sono stati compromessi? 2) Quante persone sono coinvolte? 3) L'incidente è stato contenuto? 4) Ci sono misure di mitigazione immediate? Se la risposta a queste domande ti fa sudare freddo, probabilmente devi comunicare.

Il tempismo è tutto

La risoluzione dice 'entro 3 giorni lavorativi dalla scoperta'. Ma 'scoperta' non significa quando l'attacco è avvenuto, ma quando l'azienda ne ha avuto ragionevole certezza. Quindi, se scopri l'incidente il venerdì sera, hai tempo fino al mercoledì successivo. Ma non aspettare l'ultimo minuto: prepara una bozza di comunicazione subito, anche se non sei sicuro. Meglio avere un piano che improvvisare.

Un consiglio da avvocato: documenta ogni passo della tua valutazione. Se l'ANPD dovesse chiederti perché non hai comunicato, avere una traccia scritta della tua analisi del rischio può salvarti la pelle.

E se comunichi? Cosa scrivere

La comunicazione all'ANPD deve contenere: descrizione dell'incidente, natura dei dati coinvolti, numero di interessati, misure di mitigazione, e contatti del DPO. Non serve scrivere un romanzo, ma sii preciso. E ricorda: la comunicazione all'ANPD non sostituisce quella agli interessati, che va fatta separatamente se il rischio è alto.

Per approfondire, leggi il testo ufficiale della Risoluzione CD/ANPD n. 15/2024.

In pratica: meglio prevenire che curare

La migliore strategia è non dover comunicare affatto. Investi in sicurezza informatica, formazione dei dipendenti e un piano di risposta agli incidenti. Se hai un DPO, coinvolgilo subito. Se non ce l'hai, forse è il momento di assumerne uno.

Alla fine, la decisione di comunicare o no è un atto di bilanciamento tra trasparenza e prudenza. Non esiste una risposta giusta in assoluto, ma solo quella che puoi difendere. Quindi, preparati, documenta e, se hai dubbi, consulta un legale specializzato. Perché, come dice un vecchio adagio, 'meglio un avvocato oggi che una multa domani'.

FAQ