La notifica di una violazione dei dati all'Autorità Garante per la protezione dei dati personali è gratuita: non sono dovute tasse o compensi. I costi risiedono in ciò che accade intorno: capire esattamente cosa è andato male, informare gli interessati, eventuali interventi di ripristino tecnico e il tempo che tutto ciò richiede alla vostra organizzazione. L'ammontare dipende molto dall'entità della violazione, dal tipo di dati e dal fatto che abbiate già un processo in atto prima che le cose andassero male.
Non esiste un importo fisso per "una violazione dei dati", perché nessuna violazione è identica a un'altra. Un'e-mail inviata erroneamente con dati di contatto di un cliente richiede qualcosa di diverso rispetto a un'intrusione in un sistema con fascicoli del personale di cento dipendenti. Le voci di costo appartengono sempre alle stesse categorie; solo l'entità varia.
Da dove provengono i costi
La prima voce di costo è il tempo interno: qualcuno deve capire cosa è successo, quali dati sono stati coinvolti e se il termine legale di settantadue ore per la notifica all'Autorità Garante per la protezione dei dati personali è raggiungibile. Queste ore sono spesso sottovalutate, soprattutto se non c'è un punto di contatto fisso o un processo e più persone guardano contemporaneamente lo stesso incidente.
Inoltre, potrebbe essere necessario un aiuto esterno: un fornitore IT che deve tecnicamente chiudere una violazione, un investigatore forense in caso di intrusione più grave, o un avvocato che collabora alla valutazione se e come notificare. Non ogni violazione dei dati richiede tutti questi livelli, ma in caso di incidente più grave questi costi aumentano rapidamente.
Anche informare gli interessati richiede tempo e talvolta denaro: la redazione di una lettera o un'e-mail attenta e comprensibile, la risposta alle domande che seguono, e in alcuni casi l'offerta di una forma di compenso, come una nuova password o un servizio gratuito. L'albero decisionale su aiuta a capire in poche domande se e come dovete notificare vi aiuta a mettere a fuoco il primo passo, in modo da non perdere tempo inutile nel dubbio.
Cosa ne determina l'ammontare
Il fattore più importante è l'entità: quante persone sono state coinvolte e quanto sono sensibili i dati. Una violazione con nomi e indirizzi e-mail pesa diversamente da una violazione con dati finanziari o dati sanitari. Le linee guida dell'EDPB e il GDPR stesso citano questo tipo di fattori di rischio come base per la valutazione, non come formula di calcolo per un importo.
Un secondo fattore è la velocità con cui la violazione viene scoperta e quanto è chiaro chi è responsabile di cosa. Se in un contratto di incarico è già stabilito chi deve avvertire un fornitore e entro quale termine, questo riduce il lavoro di investigazione nel momento in cui le cose vanno male. Se questo accordo non esiste, l'incidente stesso richiede più tempo per essere compreso, prima ancora che inizi il ripristino.
Un terzo fattore è se la vostra organizzazione ha già un processo definito: un piano d'azione fisso, un elenco di chi avvisare e un posto dove vengono registrati gli incidenti precedenti. Senza questo, con ogni incidente deve essere reinventato chi fa cosa, il che richiede sia tempo che tranquillità in un momento in cui entrambi sono scarsi.
La notifica stessa è gratuita, la preparazione no
È bene mantenere questa distinzione chiara: l'obbligo di notifica all'Autorità Garante per la protezione dei dati personali non comporta costi, ma l'esecuzione corretta di questa notifica sì. Chi deve determinare se un incidente deve essere notificato entro il termine legale e cosa deve contenere esattamente, ha bisogno di tempo per farlo. Una panoramica di ciò che una notifica deve contenere e quali documenti vi serviranno solitamente è descritta nella banca dati con spiegazioni per argomento.
Molti di questi costi non sono una tantum ma ricorrenti, semplicemente perché le violazioni dei dati non sono pianificate e possono ripresentarsi anche dopo anni. Per questo motivo, alcune organizzazioni scelgono di far funzionare il cronometro, i passaggi e la documentazione in un sistema invece di ricostruire tutto manualmente ogni volta. Quale sia il costo di un tale abbonamento e cosa offra in cambio, è possibile vedere sulla pagina dei prezzi con la ripartizione per componente.
Documentare in anticipo fa risparmiare dopo
Il maggior risparmio di costi di solito non sta nell'incidente stesso, ma nella preparazione: un registro dei trattamenti aggiornato, accordi chiari con i fornitori e un punto di contatto fisso assicurano che una violazione dei dati richieda meno tempo per essere valutata e gestita. Le domande frequenti su ciò che è e non è obbligatorio in questo contesto si trovano riunite nella pagina con risposte alle domande che anche altri imprenditori si pongono.
Desiderate farvi un primo quadro della vostra situazione? La scansione rapida gratuita fornisce un'indicazione in poche domande, senza che sia necessario un account.