Data Breach: Cosa fare se non riesci a notificare il Garante entro 72 ore?

Il panico delle 72 ore

Immagina: scopri una violazione dei dati, il cuore batte forte, e il timer delle 72 ore per notificare il Garante è già partito. Ma cosa succede se, per un motivo o per l'altro, non riesci a rispettare la scadenza? Tranquillo, non è la fine del mondo (anche se a volte sembra peggio di dover leggere i Termini e Condizioni per intero).

Il GDPR prevede l'obbligo di notifica entro 72 ore dalla scoperta del breach, ma la vita reale è piena di imprevisti: server down, personale assente, o semplicemente la complessità dell'indagine. La buona notizia è che il Regolamento non è un drago sputafuoco, ma una legge pensata per essere ragionevole.

Featured Snippet: Cosa fare se non riesco a notificare il Garante entro 72 ore?

Se non riesci a notificare entro 72 ore, devi documentare le ragioni del ritardo e inviare la notifica appena possibile, includendo una spiegazione dettagliata. Il GDPR all'articolo 33 prevede che il ritardo sia giustificato; in caso contrario, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale.

Le scuse accettabili (e quelle no)

Il Garante accetta ritardi solo se motivati da circostanze oggettive. Ad esempio, se il tuo CISO è in vacanza alle Maldive senza connessione, non è una scusa valida. Ma se l'attacco informatico ha paralizzato i tuoi sistemi, impedendo di raccogliere le informazioni necessarie, allora sì, puoi tirare un sospiro di sollievo.

Altre giustificazioni plausibili: la complessità dell'indagine forense, la necessità di coinvolgere più reparti, o un errore umano nella catena di notifica. Insomma, tutto ciò che dimostra che hai agito con diligenza ma hai incontrato ostacoli reali.

Come documentare il ritardo

La parola d'ordine è 'prova'. Tieni traccia di ogni passo: email, log, report. Se il tuo fornitore di servizi cloud ha subito un attacco, conserva la loro comunicazione. Se il tuo team legale era impegnato in un'altra urgenza, annotalo. Più dettagli fornisci, più il Garante sarà incline a chiudere un occhio.

Inoltre, invia una notifica preliminare entro le 72 ore, anche se parziale, e poi completa con i dettagli. Meglio una notifica imperfetta che nessuna notifica. Come dice il proverbio: 'Meglio un uovo oggi che una gallina domani' (anche se qui l'uovo è un data breach e la gallina è una sanzione).

Le conseguenze del ritardo ingiustificato

Se il Garante ritiene che il ritardo sia ingiustificato, può applicare sanzioni amministrative. L'importo dipende dalla gravità, dalla natura del breach e dalle misure adottate. In casi estremi, si arriva al 2% del fatturato annuo globale. Per evitare ciò, meglio essere trasparenti e collaborativi.

Ricorda: il GDPR non punisce il breach in sé, ma la mancata gestione corretta. Quindi, anche se sei in ritardo, mostra che hai fatto tutto il possibile per rimediare.

FAQ