Violazione di dati personali, passo per passo

Come leggerla

Registro e regia, non canale verso il Garante. La notifica si compila sul portale del Garante (servizi.gpdp.it/databreach) e la comunicazione alle persone parte con gli strumenti di sempre: qui si registra l'ora, il tipo, il protocollo e la ricevuta. Il registro dell'art. 33(5) è la scheda e il PDF di ogni pratica; l'esportazione CSV è il suo indice. Iterly non valuta il rischio e non conta nulla: livello, numero di persone e applicabilità di altre norme li decide chi valuta.

Il tempo conta in ore, weekend compresi. «Violazione conosciuta il» è una data e ora; la scadenza è 72 ore reali dopo quel minuto, anche a cavallo del cambio dell'ora. Quattro promemoria (24, 48, 66 e 72 ore) e poi un sollecito ogni giorno lavorativo arrivano per email, anche il sabato e la domenica: serve una persona raggiungibile. Le email partono entro un quarto d'ora dall'ora dovuta.

Il rischio lo decide la persona, il flusso lo pretende motivato. Tre livelli: improbabile (solo registro), rischio (notifica al Garante), rischio elevato (notifica e comunicazione alle persone). Gli aiuti dei campi rimandano allo strumento di autovalutazione del Garante; nel dubbio fra due livelli si sceglie il più alto. Il ritardo si rileva dai dati: se l'ora della notifica è oltre la scadenza, la pratica passa da MOTIVI DEL RITARDO.

Riservatezza con due platee. Chi segnala scrive tre campi e poi vede stage, scadenza, rischio, esito e lo Storico; ogni altra form è riservata a referente privacy e direzione, scheda, PDF ed esportazione compresi. Nessun elenco delle persone coinvolte e nessun dato violato in Iterly: la pratica dice dove sono, mai che cosa sono.

Le 72 ore

• Da quando si contano. Dal minuto in cui un dipendente lo sa, senza escludere l'ora iniziale: chi segnala scrive quando se n'è accorto o quando glielo hanno detto, non quando è successo. Il referente può correggere l'ora con un motivo (una breve verifica per capire che c'erano dati personali, una registrazione in ritardo): la scadenza si ricalcola. Con un fornitore che tratta dati per noi, le 72 ore partono da quando ci ha avvisati; il suo ritardo si registra a parte.
• I promemoria. A 24 ore «Primo promemoria», a 48 «Secondo promemoria», a 66 «Ultime 6 ore», a 72 «Termine superato»: la riga «Promemoria sulla notifica» nell'email dice quale. Una segnalazione arrivata tardi riceve solo l'avviso giusto: a 50 ore il secondo, a 80 solo il termine. Dopo il termine, un sollecito ogni giorno lavorativo dopo l'ultimo movimento.
• Dopo una correzione dell'ora in avanti i promemoria ancora dovuti si riarmano sulla nuova ora; all'indietro, un promemoria già inviato non si ripete e, se la nuova scadenza è già passata, «Termine superato» arriva al primo giro.
• Sabato, domenica e cambio dell'ora. Le 72 ore non si fermano. Nelle due notti del cambio dell'ora 72 ore sono comunque 72: 22 ottobre alle 10:00 scade il 25 ottobre alle 09:00; 25 marzo alle 10:00 scade il 28 marzo alle 11:00.

Notifica, ritardo, comunicazione, integrazioni

• La notifica si fa sul portale del Garante e qui si registra con l'ora di invio, il tipo (completa o preliminare), il numero di protocollo e il PDF della ricevuta, obbligatorio. Con rischio improbabile non si notifica: «Registra senza notifica» porta ai provvedimenti, e la motivazione resta nella valutazione.
• Oltre le 72 ore la pratica chiede i motivi del ritardo prima di tutto il resto: vanno scritti anche nella notifica (una casella lo ricorda). Il ritardo lo decide il confronto fra l'ora della notifica e la scadenza, non una persona.
• Con rischio elevato la pratica chiede subito la comunicazione alle persone, prima delle integrazioni: data, canale (a ciascuno, pubblica, altro) e il testo inviato senza l'elenco dei destinatari. Oppure l'eccezione dell'art. 34(3): dati incomprensibili a chi li ha (cifratura con chiave non compromessa) o misure successive che hanno eliminato il rischio; se comunicare a ciascuno richiede uno sforzo sproporzionato, la strada è la comunicazione pubblica, che si registra come comunicazione.
• Una notifica preliminare si integra una volta per volta in NOTIFICA DA COMPLETARE, con la ricevuta di ogni integrazione; la scheda mostra l'ultima, le precedenti restano nello Storico. «La notifica è completa» chiude le integrazioni. Un rischio elevato emerso durante le integrazioni si comunica da lì, o in archivio.
• In archivio si registrano le comunicazioni delle autorità (il Garante che chiede la relazione, il CSIRT) e una comunicazione alle persone fatta dopo, anche quando la ordina il Garante (art. 34(4)).

I casi tipici e la loro strada

• Email o documento al destinatario sbagliato (il rendiconto di Simone): spesso rischio improbabile se il destinatario è noto e ha cancellato; «Registra senza notifica», poi i provvedimenti.
• Dispositivo perso o rubato: cifrato con chiave non compromessa, di solito improbabile o eccezione dell'art. 34(3); non cifrato con documenti d'identità, rischio o rischio elevato con notifica. Un PC con la sola password di accesso non è protetto.
• Attacco o accesso abusivo (ransomware): quasi sempre rischio elevato, notifica preliminare entro le 72 ore con le integrazioni dopo, comunicazione alle persone; la non conformità per le misure tecniche.
• Credenziali rubate o phishing: la conoscenza è spesso tardiva e il termine già superato: si notifica comunque e si scrivono i motivi del ritardo.
• Avviso di un fornitore che tratta dati per noi: lo registra il referente privacy, con il fornitore scelto dall'anagrafica e la data in cui lui lo sapeva; il suo ritardo va a chi gestisce il contratto.
• Da un reclamo di un cliente: il reclamo resta in Reclamo cliente («Passato a un altro canale»), qui si apre la violazione senza copiare il numero del reclamo.
• Dati sanitari dei dipendenti (certificati, visite): categorie particolari, di solito rischio elevato; l'elenco delle persone resta fuori da Iterly.
• NIS2, DORA, comunicazioni elettroniche: si registra «Altri obblighi di notifica» e, in un testo, a chi e quando si è notificato; termini e promemoria di quelle norme non sono nel flusso.

Registro e indicatori

• Il registro dell'art. 33(5) è la scheda e il PDF di ogni pratica (fatti, conseguenze, provvedimenti); il CSV filtrato sullo stage CHIUSA è il suo indice. La conservazione la decide il titolare.
• Il CSV porta solo le variabili: nessun campo delle form (ricostruzione, protocollo, allegati), nessun testo libero. Le Data/Ora escono con l'ora, i booleani come «Sì» e «No».
• Nessun indicatore calcolato: numero di violazioni, tempi medi e percentuale di notifiche tardive si contano nel foglio di calcolo, dall'indice.
• Il riesame della procedura si pianifica fuori (per esempio nello Scadenzario adempimenti ricorrenti).

Cosa fa ciascuno

• Chi segnala (chiunque): tre campi, subito, anche nel dubbio e senza copiare i dati; poi osserva.
• Referente privacy: valuta e motiva, corregge l'ora, notifica sul portale e registra, scrive i motivi del ritardo, comunica o registra l'eccezione, integra, registra i provvedimenti o il numero della non conformità; in archivio le comunicazioni delle autorità.
• Direzione: riserva del referente, con gli stessi bottoni; riceve segnalazioni, promemoria e solleciti.
• Amministratore: importa, assegna i due ruoli, scrive i fornitori, pubblica; senza un ruolo non legge le form riservate.

Che cosa il flusso non fa

• Non notifica e non comunica: il portale del Garante e la comunicazione alle persone restano fuori; NIS2, DORA e comunicazioni elettroniche si registrano soltanto, senza termini né promemoria.
• Non valuta il rischio e non conta nulla: livello, numero di persone e applicabilità di altre norme li decide chi valuta.
• Non tiene elenchi delle persone coinvolte né i dati violati: la pratica dice dove sono.
• Non riapre una pratica chiusa: fatti nuovi che cambiano il rischio aprono una pratica nuova («Altro», con il numero nel testo) o si registrano in archivio come comunicazione.
• Non rifiuta un'ora futura in «Violazione conosciuta il»: l'ora si corregge con un motivo.

Da sapere

• Le 72 ore corrono anche nel weekend e i promemoria arrivano per email (entro un quarto d'ora dall'ora dovuta), non per telefono: serve una persona raggiungibile, anche di sabato.
• Le ore si scrivono e si leggono come le scrivi, nel formato «2026-10-25T09:00»: nessuna conversione di fuso. Nel CSV escono come «25/10/2026 09:00».
• «Notifica al Garante oltre le 72 ore» e «Motivi del ritardo registrati» compaiono nel Riepilogo come «No» finché non c'è una notifica; nelle email compaiono solo dopo la notifica.
• Chi segnala vede stage, scadenza, rischio, esito e lo Storico (con i nomi tecnici di azioni e promemoria), non la valutazione, la notifica, la comunicazione, i provvedimenti; non riceve email.
• Scheda, PDF ed esportazione solo a referente privacy e direzione; un amministratore senza uno dei due ruoli non legge le form riservate.
• Integrazioni e comunicazioni delle autorità: la scheda mostra l'ultima; le ricevute precedenti stanno nello Storico.
• La comunicazione agli interessati si registra dopo la notifica; se è stata fatta prima, si registra allora con la sua data.
• I solleciti (ogni giorno lavorativo dopo il termine; ogni 1, 2, 7 e 5 giorni lavorativi in MOTIVI DEL RITARDO, DA COMUNICARE, NOTIFICA DA COMPLETARE e MISURE) sono scelte del titolare: la legge dice «senza ingiustificato ritardo».
• Il termine e la soglia sono quelli dell'art. 33 vigente: la riforma proposta (Digital Omnibus: 96 ore, solo rischio elevato) è in negoziato e arriverà, se approvata, con una versione nuova.
• La non conformità si apre in Non conformità e azioni correttive con fonte «Altro» e il numero di questa pratica, senza dati personali né dettagli sulle vulnerabilità; qui si chiude con il suo numero.
• Da un reclamo: il reclamo si chiude in Reclamo cliente con «Passato a un altro canale» e qui si apre la violazione, senza copiare il numero del reclamo.