Il registro dei data breach è uno strumento essenziale per documentare in modo sistematico le violazioni di dati personali e dimostrare la conformità agli obblighi previsti dal GDPR, in particolare dall’articolo 33, paragrafo 5. Deve consentire di ricostruire la natura dell’incidente, le conseguenze, le misure adottate e le motivazioni delle decisioni assunte, inclusa l’eventuale scelta di non notificare la violazione all’autorità di controllo. Una corretta gestione del registro favorisce la responsabilizzazione del titolare e supporta il miglioramento continuo delle misure di sicurezza.
Come scrivere registro data breach
Il registro dei data breach è la documentazione interna che il titolare del trattamento deve tenere ai sensi dell’articolo 33, paragrafo 5, del GDPR. Deve consentire di ricostruire in modo completo e verificabile ogni violazione dei dati personali, comprese quelle che, dopo la valutazione del rischio, non sono state comunicate al Garante per la protezione dei dati personali. Non si tratta quindi soltanto di annotare gli incidenti notificati all’autorità, ma di registrare ogni evento qualificabile come violazione della sicurezza che comporti accidentalmente o illecitamente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali.
Per ciascun evento il registro dovrebbe innanzitutto riportare un identificativo univoco, la data e l’ora in cui la violazione si è verificata, quando possibile, nonché la data e l’ora in cui è stata rilevata e quella in cui è stata formalmente presa in carico dall’organizzazione. È opportuno indicare anche il soggetto, la funzione aziendale o il responsabile che ha individuato l’incidente, il referente incaricato della gestione e, se coinvolto, il responsabile della protezione dei dati. Queste informazioni sono essenziali per dimostrare la tempestività della risposta e il rispetto del termine di settantadue ore previsto per la notifica al Garante, quando tale notifica è necessaria.
La descrizione della violazione deve essere concreta e sufficientemente dettagliata da permettere a un soggetto indipendente di comprendere che cosa è accaduto. Non è sufficiente indicare genericamente “attacco informatico” o “perdita di dati”. Occorre precisare, per quanto accertato, se si è trattato di un accesso abusivo, di un invio errato, di un furto, di una cancellazione accidentale, di un’infezione da malware o ransomware, di una configurazione non corretta, di una divulgazione indebita o di un altro evento. Deve essere chiarito il modo in cui la violazione si è verificata, quali sistemi, applicazioni, archivi, dispositivi o supporti sono stati coinvolti e se l’evento sia ancora in corso oppure sia stato contenuto.
Il registro dovrebbe indicare la natura dei dati personali interessati, distinguendo, quando pertinente, tra dati identificativi, dati di contatto, dati finanziari, credenziali di accesso, dati relativi alla salute, dati giudiziari, dati relativi a minori, dati biometrici, dati genetici o altre categorie particolari di dati. È importante specificare anche se i dati fossero cifrati, pseudonimizzati, protetti da misure di autenticazione o comunque resi difficilmente intelligibili a soggetti non autorizzati. Questo elemento incide direttamente sulla valutazione del rischio per le persone interessate.
Devono essere riportate, nella misura ragionevolmente determinabile, le categorie e il numero approssimativo degli interessati coinvolti, nonché il numero approssimativo delle registrazioni o dei dati personali interessati. Non è sempre necessario conoscere immediatamente il dato esatto: è preferibile registrare una stima motivata, indicando che si tratta di un valore provvisorio, e aggiornarla quando l’accertamento prosegue. Gli interessati dovrebbero essere descritti in relazione al loro rapporto con l’organizzazione, come clienti, dipendenti, utenti, pazienti, fornitori o minori, perché la natura del gruppo coinvolto può influire sulla gravità del rischio.
La documentazione deve contenere una valutazione delle probabili conseguenze della violazione per i diritti e le libertà delle persone fisiche. Occorre considerare, tra gli altri aspetti, il rischio di furto d’identità, frode, perdita finanziaria, discriminazione, danno reputazionale, violazione della riservatezza, diffusione di informazioni sanitarie o sessuali, perdita di controllo sui dati e altri pregiudizi materiali o immateriali. La valutazione dovrebbe spiegare la probabilità che tali conseguenze si verifichino e la loro possibile gravità, tenendo conto della natura dei dati, del numero e delle caratteristiche degli interessati, della durata dell’esposizione, dell’identità dei destinatari e della possibilità concreta di utilizzare i dati in modo illecito.
Il registro deve inoltre descrivere le misure adottate o programmate per affrontare la violazione. Dovrebbero essere indicate le azioni immediate di contenimento, come la disconnessione di sistemi, il blocco di account, la modifica delle credenziali, il recupero o la cancellazione dei dati divulgati, la correzione delle configurazioni e l’attivazione dei backup. Devono essere registrate anche le misure volte a eliminare o ridurre gli effetti negativi per gli interessati, come il monitoraggio delle transazioni, l’assistenza alle persone coinvolte, l’attivazione di servizi contro il furto d’identità o l’invio di comunicazioni informative.
È necessario documentare anche le misure correttive e preventive adottate per evitare il ripetersi dell’evento. Possono riguardare l’aggiornamento dei sistemi, l’applicazione di patch, il rafforzamento dell’autenticazione, la revisione dei privilegi di accesso, la cifratura, la segmentazione delle reti, la formazione del personale, la modifica delle procedure interne, la revisione dei contratti con i responsabili del trattamento e l’esecuzione di audit o test di sicurezza. La registrazione dovrebbe distinguere, quando utile, tra misure già completate, misure in corso e misure ancora da pianificare, indicando responsabili e scadenze.
Un elemento particolarmente importante è la motivazione della decisione relativa agli obblighi di comunicazione. Il registro deve permettere di capire se il titolare abbia notificato la violazione al Garante, in quale data, con quali contenuti e con quale eventuale ritardo motivato. Se la notifica non è stata effettuata perché si è ritenuto improbabile un rischio per i diritti e le libertà degli interessati, questa conclusione deve essere spiegata in modo puntuale, evidenziando gli elementi che hanno escluso o ridotto il rischio. Una formula generica come “rischio basso” non è normalmente sufficiente a dimostrare il rispetto del principio di responsabilizzazione.
Quando ricorrono i presupposti dell’articolo 34 del GDPR, il registro dovrebbe indicare anche se e quando gli interessati sono stati informati, con quali modalità e attraverso quale comunicazione. Deve essere riportato il contenuto essenziale dell’informativa, soprattutto con riferimento alla natura della violazione, alle possibili conseguenze e alle misure adottate. Se la comunicazione individuale non è stata effettuata perché non necessaria, sproporzionata o sostituita da una comunicazione pubblica, anche tale scelta deve essere motivata.
Se l’incidente riguarda un responsabile del trattamento, il registro del titolare dovrebbe indicare quando il responsabile ha comunicato l’evento, quali informazioni ha fornito e come il titolare ha verificato l’adeguatezza della gestione. Il responsabile, dal canto suo, dovrebbe conservare una documentazione coerente dell’incidente e della comunicazione al titolare. Nei casi che coinvolgono più organizzazioni, fornitori tecnologici o trasferimenti internazionali, è utile registrare i soggetti coinvolti, i rispettivi ruoli e le attività svolte da ciascuno.
Il registro deve contenere anche la cronologia delle attività di gestione: rilevazione, analisi, qualificazione giuridica dell’evento, valutazione del rischio, decisione sulla notifica, contenimento, ripristino e chiusura. Non è necessario riportare ogni singola comunicazione interna, ma devono essere conservati gli elementi che consentano di ricostruire il processo decisionale e di dimostrare che la valutazione è stata svolta in modo tempestivo, competente e documentato.
Dal punto di vista formale, il registro può essere cartaceo o elettronico, purché sia integrale, aggiornato, facilmente reperibile e protetto da accessi non autorizzati o modifiche non tracciate. Dovrebbe essere applicato un sistema di controllo degli accessi, con conservazione della cronologia delle modifiche e dei documenti utilizzati per l’analisi, come log, relazioni tecniche, comunicazioni, valutazioni del rischio e copie delle notifiche. L’accesso deve essere limitato alle persone che ne hanno effettiva necessità, poiché il registro può contenere informazioni molto riservate sulla sicurezza dell’organizzazione e sui dati degli interessati.
La normativa non stabilisce un termine unico e generale di conservazione del registro. Il titolare deve quindi definire un periodo coerente con gli obblighi di responsabilizzazione, con i termini di prescrizione, con eventuali obblighi settoriali e con la necessità di dimostrare nel tempo la conformità del trattamento. Il periodo stabilito dovrebbe essere formalizzato nella procedura interna e applicato secondo criteri proporzionati, evitando sia cancellazioni premature sia conservazioni indefinite prive di giustificazione.
In sintesi, il registro deve permettere di rispondere con precisione a quattro domande: che cosa è successo, quali dati e persone sono stati coinvolti, quali rischi ne sono derivati e che cosa è stato fatto per contenere l’evento, informare le autorità o gli interessati e prevenirne la ripetizione. La sua funzione non è meramente amministrativa: costituisce la principale prova documentale con cui il titolare dimostra di avere valutato correttamente la violazione e di avere adempiuto al principio di responsabilizzazione previsto dal GDPR.
Esempio di registro data breach
REGISTRO DELLE VIOLAZIONI DEI DATI PERSONALI
Ai sensi dell’art. 33, par. 5, del Regolamento (UE) 2016/679
1. Informazioni sul titolare del trattamento
| Campo | Informazioni |
|—|—|
| Denominazione del titolare | |
| Sede legale | |
| Codice fiscale/P. IVA | |
| Referente interno | |
| Responsabile della protezione dei dati (RPD/DPO) | |
| Contatti del RPD/DPO | |
| Responsabile della compilazione | |
| Data di apertura del registro | |
—
2. Identificazione della violazione
| Campo | Informazioni |
|—|—|
| Numero identificativo dell’incidente | |
| Data e ora della scoperta | |
| Data e ora presunta dell’inizio | |
| Data e ora presunta della conclusione | |
| Data e ora della segnalazione interna | |
| Fonte della segnalazione | |
| Sistemi, servizi o sedi coinvolti | |
| Responsabile del trattamento eventualmente coinvolto | |
| Altri soggetti coinvolti | |
—
3. Descrizione della violazione
| Campo | Informazioni |
|—|—|
| Tipologia della violazione | ☐ Riservatezza ☐ Integrità ☐ Disponibilità |
| Natura dell’evento | ☐ Accesso non autorizzato ☐ Divulgazione non autorizzata ☐ Perdita ☐ Distruzione ☐ Alterazione ☐ Furto ☐ Attacco informatico ☐ Errore umano ☐ Smarrimento ☐ Altro |
| Descrizione dettagliata dei fatti | |
| Modalità con cui si è verificata la violazione | |
| Cause accertate o presunte | |
| Misure di sicurezza interessate | |
| Dati personali coinvolti | |
| Presenza di dati appartenenti a categorie particolari | ☐ No ☐ Sì — Specificare: |
| Presenza di dati giudiziari | ☐ No ☐ Sì — Specificare: |
| Presenza di dati relativi a minori | ☐ No ☐ Sì |
| Presenza di dati finanziari o relativi a strumenti di pagamento | ☐ No ☐ Sì |
| Dati cifrati, pseudonimizzati o protetti | ☐ No ☐ Sì — Specificare: |
—
4. Categorie e numero degli interessati
| Campo | Informazioni |
|—|—|
| Categorie di interessati coinvolti | ☐ Clienti ☐ Dipendenti ☐ Collaboratori ☐ Fornitori ☐ Utenti ☐ Minori ☐ Pazienti ☐ Interessati vulnerabili ☐ Altro |
| Numero stimato degli interessati coinvolti | |
| Numero effettivo degli interessati coinvolti | |
| Criteri utilizzati per la stima | |
| Distribuzione geografica degli interessati | |
| Categorie di dati personali coinvolti | |
| Numero stimato di registrazioni di dati personali coinvolte | |
| Numero effettivo di registrazioni coinvolte | |
—
5. Valutazione del rischio
| Campo | Informazioni |
|—|—|
| Probabilità di rischio per i diritti e le libertà degli interessati | ☐ Bassa ☐ Media ☐ Alta |
| Gravità delle conseguenze | ☐ Bassa ☐ Media ☐ Alta |
| Rischio complessivo | ☐ Basso ☐ Medio ☐ Alto |
| Possibili conseguenze per gli interessati | |
| Fattori considerati nella valutazione | |
| Metodologia o criteri utilizzati | |
| Data della valutazione | |
| Soggetto che ha effettuato la valutazione | |
—
6. Misure adottate
| Campo | Informazioni |
|—|—|
| Misure immediate di contenimento | |
| Data e ora di attuazione | |
| Misure adottate per limitare gli effetti | |
| Misure tecniche adottate | |
| Misure organizzative adottate | |
| Recupero, ripristino o cancellazione dei dati | |
| Verifica dell’efficacia delle misure | |
| Ulteriori misure da adottare | |
| Responsabile dell’attuazione | |
| Termine previsto per il completamento | |
| Data di completamento | |
—
7. Notifica all’autorità di controllo
| Campo | Informazioni |
|—|—|
| Obbligo di notifica al Garante | ☐ Sì ☐ No |
| Motivazione della decisione | |
| Autorità di controllo destinataria | |
| Data e ora della notifica | |
| Termine di 72 ore rispettato | ☐ Sì ☐ No |
| Motivo dell’eventuale ritardo | |
| Numero di protocollo della notifica | |
| Modalità di trasmissione | |
| Referente per i rapporti con l’autorità | |
| Documentazione allegata | |
—
8. Comunicazione agli interessati
| Campo | Informazioni |
|—|—|
| Obbligo di comunicazione agli interessati | ☐ Sì ☐ No |
| Motivazione della decisione | |
| Data della comunicazione | |
| Numero di interessati informati | |
| Modalità di comunicazione | |
| Contenuto della comunicazione | |
| Eventuale comunicazione pubblica | ☐ No ☐ Sì |
| Motivo dell’eventuale mancata comunicazione | |
| Misure alternative adottate | |
—
9. Coinvolgimento di soggetti esterni
| Campo | Informazioni |
|—|—|
| Responsabili del trattamento coinvolti | |
| Consulenti o fornitori tecnici coinvolti | |
| Forze dell’ordine informate | ☐ No ☐ Sì |
| Compagnie assicurative informate | ☐ No ☐ Sì |
| Altri soggetti informati | |
| Data delle comunicazioni | |
| Riferimenti delle comunicazioni | |
—
10. Analisi successiva e azioni correttive
| Campo | Informazioni |
|—|—|
| Analisi delle cause profonde | |
| Vulnerabilità o carenze individuate | |
| Azioni correttive e preventive | |
| Aggiornamento delle procedure interne | |
| Necessità di aggiornamento del registro dei trattamenti | ☐ No ☐ Sì |
| Necessità di aggiornamento della valutazione d’impatto | ☐ No ☐ Sì |
| Necessità di formazione del personale | ☐ No ☐ Sì |
| Test o audit programmati | |
| Responsabile delle azioni correttive | |
| Scadenze | |
| Stato di avanzamento | ☐ Non avviato ☐ In corso ☐ Completato |
—
11. Chiusura dell’incidente
| Campo | Informazioni |
|—|—|
| Data di chiusura dell’incidente | |
| Data di chiusura della valutazione | |
| Esito finale | |
| Rischio residuo | ☐ Basso ☐ Medio ☐ Alto |
| Eventuali attività ancora aperte | |
| Approvazione del titolare o del responsabile autorizzato | |
| Nome e qualifica | |
| Firma | |
| Data | |
—
12. Documentazione allegata
| N. | Documento | Data | Riferimento |
|—:|—|—|—|
| 1 | | | |
| 2 | | | |
| 3 | | | |
| 4 | | | |
| 5 | | | |
—
13. Registro delle modifiche
| Versione | Data | Descrizione della modifica | Autore | Approvazione | — | — | — | — | — |
|---|