Data Breach
Gestire l’incidente. Documentare la decisione.
Una violazione di dati personali richiede rapidità, metodo e tracciabilità: dalla raccolta dei fatti alla valutazione del rischio, fino all’eventuale notifica e comunicazione.
Prime attività
- Ricostruzione dell’evento e dei dati coinvolti
- Individuazione degli interessati e delle conseguenze
- Valutazione del rischio per diritti e libertà
- Misure immediate di contenimento e mitigazione
- Decisione sulla notifica all’autorità
- Valutazione della comunicazione agli interessati
- Registrazione e conservazione delle evidenze
La regola delle 72 ore
Quando ricorrono i presupposti previsti dal GDPR, la notifica all’autorità di controllo deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza.
Anche la decisione di non notificare deve essere motivata e documentabile.