Data breach: cosa fare nelle prime 72 ore, passo per passo

Le prime 72 ore, in ordine

1. Ora zero: segna data e ora

   Scrivi quando e come ti sei accorto del problema e chi te lo ha segnalato. È il momento da cui contano le 72 ore. Se all’inizio è solo un sospetto, annota anche quando hai avuto la conferma.

2. Prime ore: contieni il danno

   Stacca dalla rete i computer colpiti senza spegnerli né formattarli, cambia le password da un dispositivo pulito, blocca gli account sospetti, chiedi al destinatario sbagliato di cancellare l’email e di confermarlo per iscritto. Chiama il tuo tecnico informatico.

3. Entro 24 ore: raccogli i fatti

   Quali dati (nomi, documenti, dati sanitari, IBAN, password), di quante persone (clienti, pazienti, dipendenti), da quando, come è successo, quali protezioni c’erano (backup, cifratura). Conserva screenshot, log, email e la richiesta di riscatto, se c’è.

4. Entro 48 ore: valuta il rischio e decidi

   Chiediti cosa può succedere alle persone: truffe, furto d’identità, danni economici, imbarazzo, discriminazione. Puoi usare lo strumento di autovalutazione del Garante. Scrivi la decisione e il perché.

5. Entro 72 ore: notifica, se serve

   Compila la notifica sul portale del Garante con quello che sai. Se mancano dati, scrivi che seguirà un’integrazione. Conserva la ricevuta e il numero di fascicolo.

6. Subito dopo: persone, registro e denuncia

   Se il rischio è elevato, scrivi alle persone coinvolte. Completa la scheda nel registro delle violazioni. Se c’è un reato, come un ransomware o un accesso abusivo, fai denuncia.

Cos’è una violazione: non solo gli hacker

Per il GDPR una violazione di dati personali è qualsiasi incidente che porta, anche per errore, alla distruzione, alla perdita, alla modifica, alla divulgazione o all’accesso non autorizzato a dati di persone. Si distinguono tre tipi, che possono capitare insieme:

• Riservatezza: qualcuno che non doveva vede i dati. Un’email con la busta paga inviata al dipendente sbagliato, un elenco di clienti in copia visibile, un accesso abusivo alla casella di posta dopo un phishing.
• Disponibilità: i dati non sono più utilizzabili, anche per poco. Un ransomware che cifra il server, un portatile rubato senza backup, una chiavetta persa con l’unica copia dei fascicoli.
• Integrità: i dati vengono alterati. Un truffatore che entra nella casella e cambia l’IBAN nelle fatture inviate ai clienti.

Conta il tipo di dati e il contesto, non la dimensione dell’azienda: un piccolo studio medico che perde le cartelle di dieci pazienti può avere un rischio più alto di un negozio che espone mille indirizzi email. Vale anche per i condomini: l’amministratore che manda a tutti il prospetto dei morosi con nomi e importi, o perde il computer con l’anagrafe condominiale, ha una violazione da gestire.

Se l’incidente è partito da un account o da un clic, intanto metti in sicurezza le credenziali: vedi account violato: cosa fare subito e ho cliccato su un link di phishing.

Contenere senza distruggere le prove

Nelle prime ore la priorità è fermare il danno, ma senza cancellare ciò che serve a capire cosa è successo.

• Ransomware: scollega i computer dalla rete e dal Wi-Fi, non spegnerli e non reinstallare nulla prima che il tecnico abbia salvato le tracce. Controlla subito che i backup non siano stati colpiti. Non pagare il riscatto: non garantisce di riavere i dati né che non vengano pubblicati.
• Email al destinatario sbagliato: prova il richiamo del messaggio se il sistema lo permette, poi scrivi al destinatario chiedendo di cancellarla senza aprire gli allegati e di confermarlo per iscritto. Conserva la risposta.
• Portatile, telefono o chiavetta persi: fai bloccare o cancellare il dispositivo da remoto, cambia le password salvate, verifica se il disco era cifrato. Se è stato rubato, fai denuncia.
• Accesso abusivo: cambia password, chiudi le sessioni aperte, attiva la verifica in due passaggi, controlla le regole di inoltro automatico della posta, che i truffatori usano spesso.

Notificare o no: come si valuta il rischio

La decisione dipende da quanto è probabile e grave il danno per le persone. Per valutarlo guarda il tipo di dati, quante persone sono coinvolte, se si possono identificare facilmente, se i dati erano cifrati, chi li ha ricevuti e se hai potuto recuperarli.

Nel dubbio, la scelta più prudente è notificare: una notifica che si rivela non necessaria non è sanzionata, mentre una mancata notifica sì. Se dopo aver notificato scopri che il rischio non c’era, puoi integrare la notifica spiegandolo.

Come si fa la notifica al Garante

Dal 1° luglio 2021 la notifica si invia solo con la procedura telematica sul portale dei servizi online del Garante, nella sezione dedicata alla violazione dei dati. Sullo stesso portale trovi il facsimile del modulo, utile per preparare le risposte ma da non usare per l’invio, e lo strumento di autovalutazione. Controlla sul portale le modalità di accesso e di firma richieste prima che il tempo stringa.

Prepara in anticipo queste informazioni:

• dati del titolare e di chi notifica, e contatti del responsabile della protezione dei dati (DPO), se c’è;
• quando è avvenuta la violazione e quando l’hai scoperta;
• cosa è successo e che tipo di violazione è (riservatezza, disponibilità, integrità);
• quali dati e quante persone, anche in modo approssimativo;
• le conseguenze probabili per le persone;
• le misure già prese e quelle in programma;
• se hai avvisato o avviserai le persone coinvolte, e come.

Dopo l’invio ricevi un riepilogo e un numero di fascicolo, che serve per mandare una notifica integrativa quando avrai le informazioni mancanti. Se notifichi dopo le 72 ore, devi spiegare il motivo del ritardo.

Avvisare le persone coinvolte

Con un rischio elevato devi informare direttamente le persone, senza ingiustificato ritardo, con parole semplici. Una buona comunicazione dice: cosa è successo e quando, quali loro dati sono coinvolti, quali conseguenze sono possibili, cosa hai fatto, cosa consigli di fare (cambiare password, controllare il conto, diffidare di telefonate e email che citano i loro dati) e a chi rivolgersi per domande.

Non serve se i dati erano cifrati in modo che nessuno possa leggerli, se hai già eliminato il rischio, o se scrivere a ognuno richiederebbe sforzi sproporzionati: in quest’ultimo caso fai un avviso pubblico, per esempio sul sito. Il Garante può comunque ordinarti di avvisare le persone.

Il registro delle violazioni, anche senza notifica

Ogni violazione va scritta nel registro interno, anche quella minima che non notifichi. Per ogni incidente annota: data e ora dei fatti e della scoperta, descrizione, dati e persone coinvolte, valutazione del rischio, decisione presa (notifica sì o no, comunicazione sì o no) con il motivo, misure adottate per rimediare e per evitare che si ripeta. Allega le prove raccolte, come la conferma di cancellazione del destinatario sbagliato. Il registro va tenuto insieme agli altri documenti privacy: vedi nomine e registri.

Se la violazione è del tuo fornitore informatico

Il tecnico, la software house, il gestionale in cloud o l’hosting che trattano dati per tuo conto sono responsabili del trattamento: se scoprono una violazione devono avvisarti senza ingiustificato ritardo, con le informazioni utili. La notifica al Garante resta a te, come titolare, e le 72 ore partono da quando il fornitore ti informa. Per questo il contratto di nomina dovrebbe fissare tempi brevi, per esempio 24 ore, e un referente. Se sei tu il fornitore, il tuo compito è avvisare subito il cliente, non notificare al suo posto, salvo che lui te lo chieda espressamente.

Denuncia, sanzioni e NIS2

Denuncia. Ransomware, accessi abusivi e furto di dispositivi sono reati. La denuncia si presenta alla Polizia Postale, alla Polizia di Stato o ai Carabinieri, con le prove raccolte. Serve anche per l’assicurazione cyber, se l’hai, e dimostra al Garante che hai agito.

Sanzioni. Non notificare, notificare tardi senza motivo o non avvisare le persone quando serve può costare fino a 10 milioni di euro o al 2% del fatturato mondiale. Il Garante guarda però alla gravità, alle dimensioni, alla collaborazione e alle misure prese: un incidente gestito e documentato bene pesa molto meno. Le persone danneggiate possono anche chiedere il risarcimento.

NIS2. Se la tua organizzazione è registrata come soggetto essenziale o importante ai sensi del decreto NIS (D.Lgs. 138/2024), per gli incidenti informatici significativi c’è anche una notifica separata al CSIRT Italia dell’Agenzia per la cybersicurezza nazionale: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per chi è nell’elenco dal 2025 l’obbligo vale da gennaio 2026. È un obbligo in più, non sostituisce la notifica al Garante. La maggior parte delle piccole imprese, degli studi e dei condomini non rientra nel NIS.

Un esempio concreto

Lo studio di consulenza di Elena e Davide, quattro persone, arriva in ufficio lunedì alle 8.30 e trova i file del server rinominati e una richiesta di riscatto. Sul server ci sono buste paga e documenti di 180 clienti.

• Lunedì 8.40: Davide stacca il server e i computer dalla rete, annota l’ora e chiama il tecnico. Le 72 ore scadono giovedì alle 8.40.
• Lunedì pomeriggio: il tecnico verifica che il backup su disco esterno di venerdì sera è integro. Dai registri risulta però un traffico in uscita anomalo nel fine settimana: i dati potrebbero essere stati copiati.
• Martedì: Elena valuta il rischio come elevato (documenti d’identità, redditi, IBAN), fa denuncia alla Polizia Postale e prepara i dati per la notifica.
• Mercoledì: notifica al Garante con quello che sanno, indicando che seguirà un’integrazione sull’analisi del tecnico. Scrivono ai clienti un’email semplice: cosa è successo, cosa fare, chi chiamare.
• Dopo: integrano la notifica con il numero di fascicolo, completano il registro, attivano la verifica in due passaggi e un secondo backup scollegato.

Cosa fa il consulente privacy su Intervento

Descrivi cosa è successo, quando lo hai scoperto, che dati e quante persone sono coinvolte. L’orientamento gratuito ti dice se sembra servire la notifica e quanto tempo ti resta. Con l’Analisi ottieni una lettura automatica dei documenti che carichi, come la segnalazione del fornitore. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: valutazione del rischio, se notificare, cosa scrivere nel modulo e alle persone. Con il livello Soluzione, su preventivo, ti segue nella notifica, nelle integrazioni e nella revisione delle misure di sicurezza.