Un incendio che distrugge i faldoni dei clienti non è solo un danno: è una violazione di dati personali, con gli stessi obblighi di un attacco informatico. Hai settantadue ore per notificarla al Garante, e in certi casi non potrai avvisare gli interessati uno per uno. Questa guida spiega che cosa scatta, in che ordine, e quando la legge ti chiede di fare qualcosa di diverso da quello che ti aspetti.
Perché un archivio distrutto è una violazione di dati personali
È il passaggio che quasi nessuno fa, e da cui dipende tutto il resto: capire che l'evento fisico entra nella stessa disciplina dell'evento informatico.
Il Regolamento non distingue fra carta e digitale
L'articolo 4, numero 12 del Regolamento UE 2016/679 definisce la violazione dei dati personali come «la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati».
Leggi la prima parola dell'elenco: distruzione. Non «esfiltrazione», non «accesso abusivo». La distruzione è la prima ipotesi che il legislatore europeo nomina, e non pone condizioni sul supporto.
Un faldone ridotto in cenere e un archivio cifrato da un attacco informatico sono, per il Regolamento, lo stesso evento: stessi obblighi, stessa esposizione, stesso titolare che risponde.
Violazione di disponibilità: la terza, quella che si dimentica
Le violazioni si distinguono in tre categorie. Due sono intuitive: riservatezza, quando vede chi non doveva; integrità, quando modifica chi non doveva. La terza è la disponibilità, e le Linee guida 9/2022 dell'EDPB la definiscono come la perdita accidentale o non autorizzata dell'accesso ai dati, oppure la loro distruzione.
Le stesse linee guida aggiungono la frase che chiude la questione: una violazione sarà sempre considerata una violazione di disponibilità quando c'è stata perdita permanente o distruzione di dati personali. Un archivio bruciato senza copie è esattamente questo.
L’incendio al Tribunale di Milano
Il 28 marzo 2020, verso le cinque e mezza del mattino, un incendio si è sviluppato al settimo piano del Palazzo di Giustizia di Milano, dove aveva sede l'archivio del Giudice per le indagini preliminari. Oltre dieci mezzi dei vigili del fuoco sono intervenuti; il rogo è stato domato verso le otto e un quarto. La cancelleria è andata distrutta e le operazioni di spegnimento hanno reso inagibili i due piani sottostanti. Le prime ipotesi indicavano una causa accidentale, verosimilmente un corto circuito.
Nessuno lo ha chiamato attacco informatico. Ma sul piano della protezione dei dati era una perdita permanente di disponibilità su un archivio non digitalizzato, cioè il caso di scuola.
Le prime settantadue ore: che cosa devi fare, in che ordine
Qui l'articolo diventa operativo, perché è nelle prime ore che si commettono gli errori che poi costano.
Da quando decorre il termine
Il termine dell'articolo 33 non parte dall'incendio: parte da quando vieni a conoscenza della violazione. Nel caso di un evento fisico i due momenti quasi coincidono, ed è una differenza rispetto agli incidenti informatici, dove la scoperta può arrivare settimane dopo.
Non è un vantaggio. Significa che l'orologio parte subito, mentre sei ancora a gestire l'emergenza.
La notifica al Garante
La notifica va fatta senza ingiustificato ritardo e, ove possibile, entro settantadue ore. Le settantadue ore non sono un permesso di aspettare tre giorni: sono il limite oltre il quale devi motivare il ritardo.
Se non hai ancora tutte le informazioni, notifichi lo stesso e integri dopo: il Regolamento lo prevede espressamente. Aspettare di sapere tutto è il modo più comune per sforare.
La sequenza delle prime settantadue ore
Mettere in sicurezza quello che resta
Prima di ogni adempimento formale: documenti bagnati dall'acqua di spegnimento si degradano in poche ore, e il recupero è possibile solo se si interviene subito.
Stabilire che cosa è andato perduto
Non «l'archivio», ma quali trattamenti, quali categorie di dati, quante persone. È l'unica base su cui si valuta il rischio, e senza registro dei trattamenti si ricostruisce a memoria.
Valutare il rischio per le persone, non per l’azienda
La domanda del Regolamento non è quanto ci perdi tu. È che cosa succede a loro se quei dati non ci sono più: una cura interrotta, una difesa impossibile, un diritto che non si esercita.
Notificare al Garante entro settantadue ore Il passaggio che si sbaglia
Anche in modo incompleto. La notifica parziale seguita da un'integrazione è prevista; la notifica tardiva va motivata, e la motivazione entra nel fascicolo.
Decidere come informare gli interessati
Individualmente se puoi. Con una comunicazione pubblica se contattarli richiede uno sforzo sproporzionato: è una scelta prevista dalla norma, non un ripiego.
Annotare tutto nel registro delle violazioni
L'articolo 33, paragrafo 5 lo impone per ogni violazione, anche per quelle che non hai dovuto notificare. È il documento che il Garante chiede per primo.
Quando gli interessati non si possono avvisare uno per uno
Questo è il punto che cambia il modo di ragionare, e nel dibattito sul rischio fisico non compare quasi mai.
L'articolo 34 impone di comunicare la violazione agli interessati quando il rischio per i loro diritti è elevato. Il paragrafo 3, lettera c) ammette però una sostituzione: se la comunicazione individuale richiederebbe sforzi sproporzionati, si procede con una comunicazione pubblica o una misura simile, che informi le persone in modo altrettanto efficace.
Le Linee guida 9/2022 dell'EDPB illustrano proprio questa eccezione con un esempio fisico: il magazzino di un ufficio di statistica viene allagato e i documenti contenenti dati personali erano conservati solo in forma cartacea. Lì la comunicazione individuale non è possibile, perché i recapiti sono andati distrutti insieme al resto.
Fermati un attimo su questa frase, perché è controintuitiva: l'archivio che brucia può portarsi via anche il modo di avvisare le persone che hai avvisato tardi. In un incidente informatico la rubrica dei contatti quasi sempre sopravvive. In un incendio, no.
E qui la domanda giusta non è più «quanto è protetto l'archivio», ma «gli unici recapiti di queste persone stanno tutti nello stesso stanzino?».
I termini di ventiquattro e quarantotto ore non esistono più
Se hai una procedura interna scritta prima del 2018, molto probabilmente contiene termini che sono stati abrogati, e continuare a seguirli non ti mette al riparo: ti fa gestire male il tempo che hai.
Prima del Regolamento, il Garante aveva imposto termini più stretti a settori specifici: quarantotto ore alle amministrazioni pubbliche (provvedimento del 2 luglio 2015), quarantotto ore per il dossier sanitario (linee guida del 4 giugno 2015), ventiquattro ore per i sistemi biometrici (provvedimento del 12 novembre 2014).
Con il provvedimento del 30 luglio 2019 il Garante ha chiuso la questione: i termini, il contenuto e le modalità di quelle comunicazioni «si intendono eliminati e sostituiti» dalla disciplina generale. Oggi vale un termine solo, quello dell'articolo 33: senza ingiustificato ritardo e, ove possibile, entro settantadue ore.
Che cosa chiede l’articolo 32, e a chi lo chiede
La distruzione dell'archivio apre due fronti insieme: l'obbligo di notificare l'evento e la domanda su che cosa avevi fatto prima perché non accadesse.
Le due lettere che riguardano l’archivio fisico
L'articolo 32 non elenca misure minime: chiede misure adeguate al rischio, e ti chiede di poterlo dimostrare. Due previsioni riguardano l'archivio in modo diretto.
La lettera b) del paragrafo 1 chiede la capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza. La lettera c) chiede la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati «in caso di incidente fisico o tecnico»: l'incidente fisico è nominato dalla norma, non è un'interpretazione estensiva.
Il paragrafo 3 aggiunge che l'adesione a codici di condotta o a meccanismi di certificazione approvati può essere usata come elemento per dimostrare la conformità.
Chi risponde: il titolare, non il responsabile della protezione dei dati
Circola l'idea che dopo una violazione il responsabile della protezione dei dati, il DPO, risponda personalmente di ciò che non aveva segnalato. Non è così, ed è documentato in modo esplicito.
Le linee guida sui responsabili della protezione dei dati, adottate dal Gruppo di lavoro articolo 29 e recepite dall'EDPB, contengono la domanda alla lettera: il RPD è personalmente responsabile in caso di inosservanza degli obblighi in materia di protezione dei dati? La risposta è: «No, il RPD non è responsabile personalmente in caso di inosservanza degli obblighi in materia di protezione dei dati. Spetta al titolare del trattamento o al responsabile del trattamento garantire ed essere in grado di dimostrare che il trattamento è effettuato conformemente al regolamento».
Nella stessa direzione va l'articolo 38, paragrafo 3, per cui il responsabile della protezione dei dati «non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti». È una tutela della sua indipendenza, e ha un senso preciso: chi deve poterti dire una cosa scomoda non può temere le conseguenze del dirtela.
La conseguenza pratica è l'opposto di quella che si sente ripetere. Se il responsabile della protezione dei dati ti ha segnalato per iscritto che l'archivio è esposto e tu non hai fatto nulla, quella segnalazione non protegge te: documenta che eri stato avvisato.
Come si risponde del danno verso le persone
Sul risarcimento è ancora diffuso il richiamo all'articolo 2050 del Codice Civile, quello sulle attività pericolose. Aveva una base normativa: l'articolo 15 del Codice Privacy del 2003 vi rinviava espressamente. Quell'articolo è stato abrogato dal decreto legislativo 101/2018.
Oggi la norma è l'articolo 82 del Regolamento, e il meccanismo essenziale è rimasto: l'onere della prova è rovesciato. Il titolare è esonerato solo se dimostra che l'evento dannoso non gli è in alcun modo imputabile. Non devi essere tu a dimostrare la colpa altrui: sei tu a dover dimostrare la tua estraneità.
Ecco perché il tema torna sempre alla stessa parola, prova. Un armadio metallico da ufficio non lascia traccia di sé in un fascicolo; una certificazione rilasciata da un ente terzo sì.
Le sanzioni, articolo per articolo
| Che cosa viene contestato | Norma | Massimo edittale |
|---|---|---|
| Misure di sicurezza inadeguate, anche senza alcun incidente | Art. 32, con art. 83 §4 | 10 milioni di euro o il 2% del fatturato mondiale |
| Notifica al Garante omessa o oltre il termine | Art. 33, con art. 83 §4 | 10 milioni di euro o il 2% del fatturato mondiale |
| Comunicazione agli interessati omessa in presenza di rischio elevato | Art. 34, con art. 83 §4 | 10 milioni di euro o il 2% del fatturato mondiale |
| Violazione dei principi fondamentali del trattamento | Art. 5, con art. 83 §5 | 20 milioni di euro o il 4% del fatturato mondiale |
Due precisazioni che cambiano la lettura della tabella. La prima: si applica l'importo più elevato fra la cifra fissa e la percentuale, non il minore. La seconda: le contestazioni si sommano, perché misura mancante e notifica mancante sono violazioni distinte, e la seconda spesso nasce dalla convinzione che la carta non contasse.
Tre professioni dove l’obbligo si somma a un altro
Non è un elenco di categorie: sono i tre casi in cui la distruzione dell'archivio fa scattare due discipline insieme, e la seconda è spesso più severa della prima.
Studi legali
Il segreto professionale ha norme proprie, sanzioni penali e una conseguenza disciplinare che nessuna sanzione amministrativa eguaglia. Il tema sta per intero in come uno studio legale dimostra che l'archivio è protetto, che ricostruisce anche la valutazione d'impatto quando è dovuta.
Vale la pena però sfatare qui un'attribuzione che si legge spesso: le linee guida del Consiglio Nazionale Forense in materia di protezione dei dati non prescrivono un tipo di armadio. Chiedono misure adeguate e proporzionate, e lasciano la scelta tecnica allo studio. Chi ti dice che «il CNF impone l'armadio ignifugo» sta vendendo, non citando.
Commercialisti
Il decreto legislativo 231/2007 impone la conservazione dei documenti antiriciclaggio per dieci anni: lo stabilisce l'articolo 31, comma 3, e il termine decorre dalla cessazione del rapporto continuativo, della prestazione professionale o dall'esecuzione dell'operazione occasionale.
La Regola tecnica n. 3 del Consiglio Nazionale dei Dottori Commercialisti, che attua gli articoli 31, 32 e 34 del decreto, chiede che la conservazione consenta di ricostruire la data dell'incarico, i dati del cliente, del titolare effettivo e dell'esecutore, la finalità del rapporto e, per le operazioni, importo, causale e mezzi di pagamento.
Un archivio distrutto rende impossibile quella ricostruzione. Se arriva un controllo, la sanzione antiriciclaggio e quella per la violazione dei dati non si escludono: si sommano.
Studi medici e strutture sanitarie
I dati sulla salute sono categorie particolari ai sensi dell'articolo 9, e la loro indisponibilità improvvisa può avere conseguenze cliniche, non solo giuridiche.
Il Piano di protezione dei dati pubblicato dalla FNOMCeO contiene una voce dedicata, «Sistema di custodia archivi cartacei», in cui il medico dichiara che cosa usa davvero. Le opzioni elencate sono, in ordine: armadi blindati, armadi ignifughi con serratura, armadi ignifughi senza serratura, altri armadi con e senza serratura, classificatori e cassetti con e senza serratura, cassaforte, scaffalature.
Guarda dove sta la cassaforte: in una voce separata dagli armadi ignifughi. Anche il modello della Federazione tratta le due cose come misure diverse, perché lo sono. Una protegge dal ladro, l'altra dal calore, e ciò che distingue una classe dall'altra è spiegato in come si legge l'etichetta di un armadio certificato.
Che cosa fare adesso, in ordine di urgenza
Tre cose, e la prima non costa nulla.
Apri la procedura di gestione degli incidenti e cerca la parola «incendio». Se non c'è, la tua procedura copre solo metà delle violazioni possibili. Aggiungi gli eventi fisici (incendio, allagamento, crollo) con lo stesso termine di settantadue ore, e togli i termini pre-2018 se sono rimasti.
Verifica dove stanno i recapiti degli interessati. Se l'unico elenco con indirizzi e telefoni è nello stesso archivio dei fascicoli, un solo evento ti toglie i dati e il modo di comunicare la loro perdita. Una copia in un luogo diverso è la misura più economica di tutte.
Poi, e solo poi, guarda il contenitore. La scelta della classe di protezione viene dopo l'inventario di ciò che va protetto, non prima: quale norma serve per la carta e quale per i supporti digitali è il tema di come si sceglie un armadio ignifugo per i dati.
Il Garante non sanziona l'incendio. Sanziona la mancanza che lo ha reso distruttivo, e il silenzio che è venuto dopo. La prima si documenta con una targa, il secondo con una notifica fatta in tempo.
Faq – Domande frequenti
Un incendio che distrugge documenti cartacei è un data breach?
Sì. L'articolo 4, numero 12 del GDPR nomina la distruzione come prima ipotesi di violazione, e non distingue fra supporto cartaceo e digitale. Se i documenti contenevano dati personali e non esistono copie, si tratta di una violazione di disponibilità permanente.
Entro quanto va notificato al Garante un data breach su archivi cartacei?
Senza ingiustificato ritardo e, ove possibile, entro settantadue ore da quando ne vieni a conoscenza, come prevede l'articolo 33. Se non hai ancora tutte le informazioni, la notifica si presenta lo stesso e si integra in un secondo momento.
Valgono ancora i termini di ventiquattro o quarantotto ore per certi settori?
No. Con il provvedimento del 30 luglio 2019 il Garante ha stabilito che i termini previsti dai provvedimenti precedenti su amministrazioni pubbliche, dossier sanitario e biometria si intendono eliminati e sostituiti dalla disciplina generale delle settantadue ore.
Il DPO risponde personalmente se l’archivio non era protetto?
No. Le linee guida sui responsabili della protezione dei dati sono esplicite: il RPD non è responsabile personalmente in caso di inosservanza degli obblighi. La responsabilità di garantire e dimostrare la conformità resta del titolare o del responsabile del trattamento.
Se l’incendio distrugge anche i recapiti, come si avvisano gli interessati?
Con una comunicazione pubblica o una misura equivalente. L'articolo 34, paragrafo 3, lettera c) lo consente quando la comunicazione individuale richiederebbe sforzi sproporzionati, e le Linee guida 9/2022 dell'EDPB portano proprio l'esempio di un archivio conservato solo su carta.
