Data breach: cosa fare nelle prime 24 ore

Un data breach non avvisa prima di arrivare: un ransomware al mattino presto, una email con i dati di cento clienti spedita al destinatario sbagliato, un portatile sparito con il database commerciale. Le prime 24 ore dopo la scoperta di una violazione di dati personali decidono quasi tutto: l’entità del danno, la qualità della notifica al Garante e la capacità di dimostrare, dopo, di aver agito bene. Ecco cosa fare, nell’ordine giusto.

Ora zero: contenere senza distruggere le prove

La prima priorità è fermare l’emorragia: isolare i sistemi compromessi, revocare le credenziali sospette, bloccare gli accessi anomali, richiamare se possibile la comunicazione errata. Ma attenzione all’istinto di ripulire tutto: log, immagini dei sistemi e messaggi sono le prove che serviranno per capire cosa è successo e per documentare la gestione. Contenere sì, cancellare no. Se è coinvolto un fornitore IT, va coinvolto subito, con un’istruzione chiara: preservare le evidenze mentre si contiene. Fin dal primo momento conviene aprire un diario dell’incidente: chi ha fatto cosa, quando, sulla base di quali informazioni. Quel diario, a freddo, varrà moltissimo.

Le prime ore: capire cosa è successo davvero

Notificare bene richiede prima di tutto capire. Le domande a cui rispondere nelle prime ore sono concrete: quali categorie di dati sono coinvolte, e ci sono dati particolari come quelli sanitari? Quante persone sono interessate, e chi sono: dipendenti, clienti, minori? La violazione riguarda la riservatezza, l’integrità o la disponibilità dei dati? I dati erano cifrati o protetti in altro modo? L’evento è concluso o ancora in corso? Da queste risposte dipende la valutazione del rischio per gli interessati, che è il criterio con cui il Regolamento distingue ciò che va notificato da ciò che va solo documentato. La valutazione va scritta, non pensata: è la prima cosa che verrà riletta.

Chi coinvolgere subito

• il vertice aziendale: la gestione di un breach è una decisione del titolare, non dell’ufficio IT;
• il DPO, se nominato: è il suo mestiere, e va coinvolto dalla prima ora, non a decisioni prese;
• l’IT interno e i fornitori tecnici coinvolti, per contenimento e analisi;
• la funzione legale o il consulente privacy, per la valutazione del rischio e la notifica;
• le risorse umane e la comunicazione interna, se sono coinvolti dati dei dipendenti;
• eventualmente l’assicurazione, se esiste una polizza cyber con obblighi di attivazione.

Poche persone, ruoli chiari, un solo coordinatore: nelle crisi la confusione dei ruoli costa più della violazione stessa.

La timeline verso le 72 ore

L’art. 33 del Regolamento UE 2016/679 chiede la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Tre precisazioni pratiche. Primo: il termine decorre dalla conoscenza della violazione, ed è per questo che serve una procedura interna che faccia arrivare subito le segnalazioni a chi decide. Secondo: se non si hanno ancora tutti gli elementi, è possibile una notifica per fasi, integrando le informazioni successivamente; aspettare di sapere tutto è l’errore classico. Terzo: se il rischio per gli interessati è elevato, l’art. 34 impone anche la comunicazione alle persone coinvolte, con un linguaggio chiaro. E se si conclude che il rischio è improbabile e non si notifica, la violazione va comunque registrata e la decisione motivata: l’onere di dimostrare resta.

La differenza la fa la preparazione

Chi ha una procedura di gestione delle violazioni, ruoli assegnati e un modello di valutazione del rischio gestisce le prime 24 ore con metodo; chi non ce l’ha, improvvisa contro il tempo. PL Consulting affianca le organizzazioni nella gestione delle violazioni e nella preparazione preventiva: scopri il servizio dedicato ai data breach e contattaci prima che serva davvero.

Nota: ogni violazione richiede una valutazione specifica del rischio e dei conseguenti obblighi. Questo articolo ha finalità informative generali e non sostituisce una valutazione professionale sul caso concreto. Articolo aggiornato a luglio 2026.