La regola delle 72 ore, spiegata bene: cosa obbliga davvero il GDPR dopo una violazione

Un approfondimento, non l'attacco del giorno

Ogni volta che pubblichiamo un dossier su un furto di dati, arriva la stessa domanda dal lato di chi i dati li custodisce: e adesso, cosa sono obbligato a fare? La risposta europea sta in due articoli del GDPR, il 33 e il 34, e in un numero che è diventato uno slogan — 72 ore — spesso citato male. Vale la pena spiegarlo per bene, alla fonte.

Prima di tutto: cos'è una "violazione"

Il GDPR definisce la violazione dei dati personali in modo ampio: non solo il furto o la divulgazione (violazione di riservatezza), ma anche l'alterazione non autorizzata (integrità) e la perdita di accesso o distruzione (disponibilità). Un ransomware che cifra un archivio senza esfiltrarlo è comunque una violazione, perché mette a rischio la disponibilità dei dati. Il primo passo, quindi, non è "abbiamo subito un furto?", ma "è avvenuto un evento che compromette riservatezza, integrità o disponibilità di dati personali?".

Le 72 ore: cosa contano davvero

L'articolo 33 impone al titolare di notificare la violazione all'autorità di controllo — in Italia il Garante — senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Due precisazioni che cambiano tutto. Il conteggio parte dalla conoscenza della violazione, non dal momento in cui è accaduta; e la notifica non è dovuta se la violazione è improbabile che presenti un rischio per i diritti e le libertà delle persone. Se si superano le 72 ore, la notifica va comunque fatta, corredata delle motivazioni del ritardo.

1. Momento della conoscenza
   Parte il conteggio

   Non da quando è avvenuta, ma da quando il titolare ne è consapevole.

2. Entro 72 ore
   Notifica al Garante (art. 33)

   Salvo che il rischio per le persone sia improbabile.

3. Senza ritardo
   Comunicazione agli interessati (art. 34)

   Solo se il rischio è elevato.

Notificare al Garante non è avvisare gli interessati

È la confusione più comune. L'articolo 33 riguarda l'autorità; l'articolo 34 riguarda le persone i cui dati sono stati violati, e scatta a una soglia diversa e più alta: la comunicazione agli interessati è dovuta solo quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e libertà, e deve avvenire senza ingiustificato ritardo, con linguaggio chiaro. Il GDPR prevede anche eccezioni — per esempio se i dati erano cifrati in modo da renderli incomprensibili a chi li ha ottenuti, o se il titolare ha adottato misure successive che scongiurano il rischio elevato.

L'obbligo che vale comunque: documentare

C'è un dovere che non dipende dal rischio e che spesso viene dimenticato: il titolare deve documentare qualsiasi violazione, comprese le circostanze, gli effetti e i provvedimenti adottati, anche quando decide — legittimamente — di non notificarla. Quella documentazione è ciò che permette al Garante di verificare a posteriori che la valutazione del rischio sia stata fatta, e fatta bene. In pratica: la decisione di non notificare non è un non-fare, è una valutazione che va messa nero su bianco.

Alla fonte, sempre

Questo articolo inquadra il meccanismo; le decisioni concrete su un incidente reale vanno prese sul testo del Regolamento (UE) 2016/679 e sulle indicazioni operative del Garante e dell'EDPB, in particolare le linee guida sulla notifica delle violazioni. È lo stesso metodo dei nostri dossier tecnici: la fonte primaria prima della sintesi. Nota di sensibilità: questo è un approfondimento normativo generale, non consulenza legale sul caso specifico.