Regole di notifica delle violazioni per servizi di condivisione file

L'Articolo 33 del GDPR concede ai titolari 72 ore dal momento in cui vengono a conoscenza di una violazione di dati personali per notificarla all'autorità di controllo competente, salvo che la violazione non sia tale da comportare un rischio per le persone fisiche. L'Articolo 34 richiede inoltre di notificare direttamente gli interessati colpiti quando il rischio è elevato, senza ingiustificato ritardo. Per le piattaforme di condivisione file, una violazione può significare un link di download trapelato tramite i log, un bucket S3 mal configurato, un account amministrativo compromesso o un laptop perso con cache non cifrate. Mancate le 72 ore senza giustificazione e si va incontro a sanzioni ai sensi dell'Articolo 83(4) fino al 2% del fatturato globale.

Cosa conta come "violazione di dati personali"

L'Articolo 4(12) la definisce come una violazione della sicurezza che comporta accidentalmente o illecitamente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Le Linee guida EDPB 9/2022 (adottate nell'ottobre 2022, che sostituiscono WP250) classificano le violazioni come di riservatezza (divulgazione o accesso non autorizzato), integrità (modifica non autorizzata) o disponibilità (perdita o distruzione). Un link di trasferimento file condiviso accidentalmente su Twitter pubblico: violazione di riservatezza. Ransomware che cifra il database di trasferimento: violazione di disponibilità. Un insider che modifica le fatture PDF prima della consegna: violazione di integrità. Tutti e tre attivano l'analisi ai sensi dell'Articolo 33.

Quando inizia il conto alla rovescia delle 72 ore

Il conteggio parte da quando il titolare "viene a conoscenza" — quando esiste un ragionevole grado di certezza che si sia verificato un incidente di sicurezza che ha portato alla compromissione. Il tempo di indagine prima di raggiungere una ragionevole certezza non conta contro il termine, ma non puoi ritardare l'indagine per guadagnare tempo. L'ICO e la CNIL hanno entrambi sanzionato titolari per ritardi eccessivi nelle indagini. Regola pratica: 24 ore dal primo segnale (alert del SOC, segnalazione di un dipendente, notifica esterna) fino alla decisione di "presa di conoscenza". Se è necessario più tempo, documentane il motivo. La notifica del responsabile al titolare è separata — tipicamente 24-48 ore ai sensi del DPA.

Violazioni che non richiedono notifica

L'Articolo 33(1) esclude le violazioni che non comportano probabilmente un rischio per i diritti e le libertà delle persone. Il titolare decide sulla base di una valutazione del rischio. Le Linee guida EDPB 9/2022 forniscono esempi: dati cifrati rubati dove la cifratura è robusta e la chiave non è stata compromessa (nessun rischio di divulgazione), breve indisponibilità con rapido ripristino e nessuna corruzione dei dati. Un servizio di trasferimento file che usa la cifratura AES-256-GCM lato client e perde ciphertext per furto non ha una violazione di divulgazione perché il ladro detiene blob inutilizzabili. Documenta la valutazione — le autorità di controllo vogliono vedere il ragionamento, non solo la conclusione.

Il contenuto della notifica ai sensi dell'Articolo 33(3)

La notifica all'autorità di controllo deve includere: natura della violazione incluse le categorie e il numero approssimativo di interessati e record coinvolti, nome e recapito del DPO o di altro punto di contatto, probabili conseguenze, misure adottate o proposte per affrontare la violazione e attenuarne gli effetti. Se non disponi di tutti i fatti entro 72 ore, l'Articolo 33(4) consente la notifica per fasi. Presenta una notifica iniziale con ciò che sai, etichettala come preliminare e invia aggiornamenti man mano che l'indagine prosegue. La maggior parte dei Garanti (CNIL, ICO, BfDI) mette a disposizione portali online con moduli strutturati.

Notifica agli interessati ai sensi dell'Articolo 34

Quando la violazione comporta probabilmente un rischio elevato per le persone, l'Articolo 34 richiede di notificarle direttamente, in un linguaggio chiaro e semplice. Eccezioni ai sensi dell'Articolo 34(3): i dati erano cifrati (in modo tale da renderli incomprensibili), le misure successive rendono improbabile l'elevato rischio, o la notifica individuale richiederebbe uno sforzo sproporzionato (si ricorre a una comunicazione pubblica). Per una fuga di file HR non cifrati, la notifica diretta è obbligatoria. Per una fuga di ciphertext con chiavi non compromesse, la notifica generalmente non è richiesta — cita l'Articolo 34(3)(a).

Costruire un runbook di risposta alle violazioni

Un runbook funzionale copre: (1) fonti di rilevamento (alert SIEM, segnalazioni degli utenti, notifiche esterne) e percorsi di escalation; (2) checklist di triage per classificare la gravità; (3) passi di contenimento (revocare le chiavi, bloccare gli IP, isolare i sistemi); (4) conservazione delle prove (immagini disco, esportazioni di log) per le indagini forensi e le verifiche regolamentari; (5) albero decisionale per la notifica collegato ai criteri dell'Articolo 33; (6) template di comunicazione per il Garante, gli interessati, i clienti e il pubblico; (7) revisione post-incidente con lezioni apprese documentate. Rivedi il runbook trimestralmente e testalo annualmente con un tabletop exercise.

Le prove che un'autorità di controllo richiederà

CNIL, ICO e BfDI pongono domande coerenti dopo una violazione: cronologia del rilevamento e risposta, ambito dei dati coinvolti, misure tecniche e organizzative in atto prima della violazione, misure adottate dopo, comunicazioni agli interessati e se la violazione avrebbe potuto essere prevenuta. Conserva questi elementi: log del SIEM intorno alla finestra dell'incidente, log delle modifiche ai sistemi interessati, log di accesso che mostrano attività anomale, documentazione della postura di sicurezza (SoA ISO 27001, DPIA) e un post-mortem dettagliato. Le autorità di controllo sanzionano duramente quando trovano log incompleti — è un segnale di sicurezza debole in generale.

Notifiche dal responsabile al titolare

Se il tuo servizio di trasferimento file è un responsabile del trattamento, l'Articolo 33(2) ti obbliga a notificare al titolare "senza ingiustificato ritardo" dopo essere venuto a conoscenza di una violazione. La maggior parte dei DPA specifica 24-48 ore. La notifica del responsabile deve fornire al titolare informazioni sufficienti per presentare la propria notifica ai sensi dell'Articolo 33(1): cosa è successo, quando, ambito, categorie di dati coinvolti, risposta iniziale. Il titolare poi presenta la notifica regolamentare. Un DPA che posticipa la notifica del responsabile oltre le 48 ore o che richiede al titolare di chiedere prima di ricevere comunicazione non è conforme.

Coordinamento transfrontaliero in caso di violazione

Per i titolari multinazionali, identifica l'autorità di controllo capofila ai sensi dell'Articolo 56 (l'autorità dello stabilimento principale). Presenta la notifica alla capofila, che coordina con le autorità interessate tramite il meccanismo One-Stop-Shop. Per i titolari extra-UE senza stabilimento nell'UE ma che offrono beni o servizi a residenti UE, presenta la notifica a ogni autorità interessata dove risiedono gli interessati colpiti. Questo diventa rapidamente difficile da gestire — valuta la nomina di un rappresentante ai sensi dell'Articolo 27 che centralizza le comunicazioni. Conserva nel runbook un elenco aggiornato dei Garanti e dei loro portali online per la notifica delle violazioni.

Rimedi e il rischio di sanzione successiva

La notifica non è la chiusura. L'Articolo 83(2) stabilisce fattori per le sanzioni tra cui il grado di responsabilità del titolare, le misure preventive adottate e la cooperazione. La remediation post-violazione — miglioramento della cifratura, controlli di accesso, revisione della DPIA, formazione del personale — riduce direttamente le sanzioni. Le linee guida CNIL 2023 sull'enforcement delle violazioni citano esempi in cui le sanzioni sono state dimezzate per i titolari che hanno dimostrato una remediation rapida e trasparenza. I servizi con controlli architetturali solidi fin dall'inizio (cifratura lato client, conservazione breve, DPA documentati) — l'approccio di HexaTransfer — limitano sia la superficie di violazione che l'esposizione alle sanzioni.

Un calendario di conformità per le 72 ore

Ora 0: segnale di violazione ricevuto. Ora 4: triage iniziale completato, incident commander assegnato. Ora 12: valutazione dell'ambito completata, decisione preliminare sull'Articolo 33 presa. Ora 24: il responsabile notifica i titolari (se applicabile). Ora 48: bozza della notifica Articolo 33 esaminata dal DPO e dal legale. Ora 72: notifica presentata al Garante capofila. Giorni 5-7: notifiche agli interessati ai sensi dell'Articolo 34 inviate. Giorno 30: revisione post-incidente pubblicata internamente. Giorno 90: piano di remediation completato e documentato.

Notifica presto, notifica spesso e tieni la documentazione pulita. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.