Il termine di 72 ore per le violazioni dei dati: inizio del conto alla rovescia

Il termine di 72 ore per una violazione inizia a decorrere nel momento in cui si ha la ragionevole certezza che si sia verificata una violazione dei dati personali. Ciò non equivale ad aver confermato ogni singolo dettaglio. Se sospettate una violazione ma attendete di disporre di una relazione forense completa, avete già mancato il termine. Il GDPR stabilisce innanzitutto «senza ingiustificato ritardo», aggiungendo poi il limite massimo di 72 ore. Pertanto, anche se non riuscite a completare l’indagine, dovete notificare la violazione all’autorità di controllo entro tre giorni dal momento in cui avete avuto per la prima volta indicazioni che qualcosa non andava.

Per evitare di cadere nell’insidia, ricordate che la soglia per «venire a conoscenza» è bassa. Se un avviso di sistema segnala un accesso insolito a una banca dati contenente dati personali, ciò è sufficiente per far partire il conto alla rovescia. Non occorre dimostrare che i dati siano stati effettivamente esfiltrati. Un accorgimento utile consiste nel considerare il periodo di 72 ore come un conto alla rovescia che inizia quando sorge un ragionevole sospetto, non quando l’incidente è confermato. Un altro suggerimento: se una domanda descrive una violazione scoperta il venerdì pomeriggio, il termine continua a decorrere durante il fine settimana. I fine settimana e i giorni festivi non sospendono le 72 ore.

Per fissare questo concetto, associate il numero 72 all’espressione «ragionevole certezza». Immaginate un analista della sicurezza che dica «Sono ragionevolmente certo che si sia verificata una violazione» e imposti immediatamente un timer di 72 ore. Se incontrate uno scenario in cui il titolare del trattamento attende un’indagine completa prima di effettuare la notifica, si tratta di una chiara violazione. Il termine decorre dal sospetto, non dalla certezza.