Dopo una violazione, la fretta è di solito tutta tecnica: contenere, eradicare, ripristinare. Ma c'è un orologio giuridico che corre in parallelo, e non aspetta che la forensics finisca.

Cosa richiede la legge

L'articolo 48 della LGPD impone al titolare del trattamento di comunicare all'ANPD e agli interessati il verificarsi di un incidente di sicurezza che possa comportare rischio o danno rilevante. La Risoluzione CD/ANPD n. 15 del 24 aprile 2024 ha fissato il termine: tre giorni lavorativi dalla conoscenza dell'incidente. Per gli agenti di trattamento di piccole dimensioni il termine è raddoppiato: sei giorni lavorativi.

Quando non è possibile raccogliere tutte le informazioni in tempo, la comunicazione può avvenire per fasi. La parte preliminare rientra nel termine, con motivazione, e il completamento può essere inviato entro venti giorni lavorativi dalla comunicazione iniziale.

Comunicare all'interessato è un'altra cosa

La notifica all'autorità e la comunicazione all'interessato hanno destinatari diversi e non devono avere lo stesso testo. L'interessato deve capire, con un linguaggio chiaro e accessibile, quali suoi dati sono stati colpiti, quale rischio ciò comporta e cosa può fare al riguardo. Il gergo tecnico e l'eufemismo qui non proteggono nessuno: si limitano a trasferire il costo dell'incidente su chi è già stato danneggiato.

Cosa preparare prima di averne bisogno

• Un responsabile nominato per attivare il processo, con un sostituto.

• Modelli di comunicazione già pronti: per l'ANPD, per gli interessati e per la stampa.

• Un criterio documentato di ciò che l'organizzazione considera