Data breach in condominio: notifica in 72 ore

Una violazione dei dati personali, il cosiddetto data breach, può colpire anche uno studio di amministrazione: una email inviata al destinatario sbagliato, un dispositivo smarrito, un accesso non autorizzato al gestionale. Quando la violazione presenta un rischio per i diritti e le libertà degli interessati, il titolare deve notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, come previsto dall'articolo 33 del Regolamento UE 2016/679. In alcuni casi va avvisato anche il condomino.

Cos'è un data breach

Il Regolamento definisce la violazione come la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali, in modo accidentale o illecito. Non serve un attacco informatico sofisticato: in condominio i casi più comuni sono banali. Un elenco di morosi inviato per errore a tutti i condòmini, una chiavetta con i dati smarrita, credenziali del portale finite in mani sbagliate, documenti riservati resi accessibili per un errore di configurazione. Riconoscere l'evento come violazione è il primo passo per gestirlo correttamente.

Quando scatta la notifica al Garante

L'articolo 33 impone la notifica al Garante quando la violazione può comportare un rischio per i diritti e le libertà delle persone fisiche. Se invece è improbabile che la violazione presenti un rischio, la notifica non è dovuta, ma l'evento va comunque documentato. La valutazione del rischio va fatta subito, considerando il tipo di dati coinvolti, il numero di interessati, la possibilità che i dati siano usati in modo dannoso e la reversibilità della violazione. Nel dubbio, molti scelgono di notificare per prudenza.

Il termine delle 72 ore

Il conto delle 72 ore decorre dal momento in cui il titolare viene a conoscenza della violazione, non dal momento in cui l'evento è accaduto. Se la notifica avviene oltre le 72 ore, deve essere accompagnata dai motivi del ritardo. È ammessa una notifica in fasi: se non si dispone subito di tutte le informazioni, si può notificare quanto noto e integrare successivamente. L'importante è non aspettare di avere il quadro completo per iniziare, perché il tempo corre.

• Le 72 ore partono dalla conoscenza, non dall'accadimento
• Notifica non dovuta se è improbabile un rischio, ma l'evento va documentato
• Notifica in fasi ammessa se mancano informazioni
• Oltre le 72 ore serve motivare il ritardo

Cosa contiene la notifica

La notifica al Garante deve descrivere la natura della violazione, le categorie e il numero approssimativo di interessati e di record coinvolti, i dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto, le probabili conseguenze della violazione e le misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Preparare in anticipo un modello aiuta a compilare la notifica rapidamente nel momento critico, quando la fretta è nemica della precisione.

Quando avvisare i condòmini

Se la violazione comporta un rischio elevato per i diritti e le libertà degli interessati, l'articolo 34 impone di comunicarla anche agli interessati stessi, senza ingiustificato ritardo, con un linguaggio chiaro e semplice. La comunicazione serve a metterli in condizione di proteggersi, ad esempio cambiando una password compromessa. La comunicazione non è dovuta se il titolare ha adottato misure che rendono i dati incomprensibili a chi non è autorizzato, come una cifratura efficace, o se ha preso misure successive che scongiurano il rischio elevato.

Il registro delle violazioni

Tutte le violazioni vanno documentate in un registro interno, comprese quelle che non sono state notificate perché prive di rischio. Il registro deve riportare le circostanze della violazione, i suoi effetti e i provvedimenti adottati. Serve a dimostrare al Garante il rispetto degli obblighi e a costruire la responsabilizzazione richiesta dal Regolamento. Anche un evento gestito bene, ma non documentato, lascia lo studio scoperto in caso di verifica.

Prevenire e reagire con strumenti adeguati

La miglior difesa è una combinazione di prevenzione e prontezza: accessi profilati, credenziali robuste, backup, invii con destinatari separati e una procedura scritta da attivare in caso di incidente. Un gestionale che struttura gli accessi e archivia in modo ordinato riduce sia la probabilità di una violazione sia il tempo per ricostruirla. AmministraPro adotta misure di sicurezza sui dati del condominio e tiene tracciato l'archivio: le funzioni sono descritte nella pagina /funzioni e i piani nella pagina /prezzi, per farsi trovare pronti se un data breach dovesse accadere.