Un lunedì mattina i server dell’ente non rispondono, i servizi al cittadino si fermano, l’anagrafe non è consultabile. Nelle ore successive la domanda smette di essere tecnica e diventa giuridica: che cosa deve fare l’amministrazione, entro quando, e di che cosa risponde. I data breach nei Comuni della Campania, come nel resto del Paese, seguono uno schema ricorrente, e l’esito dipende quasi sempre da decisioni prese nelle prime settantadue ore.
L’ente resta titolare, anche quando il sistema è di altri
Il primo equivoco da sciogliere riguarda la responsabilità. Quasi nessun Comune gestisce in proprio l’intera infrastruttura: il gestionale è di una software house, l’hosting di un fornitore, la posta di un altro, il sito di un terzo ancora. Questo non sposta la titolarità del trattamento, che resta in capo all’ente.
Il fornitore è responsabile del trattamento ai sensi dell’articolo 28 del Regolamento UE 2016/679, e il contratto deve disciplinare, tra le altre cose, l’obbligo di assistere il titolare nell’adempimento degli obblighi in materia di sicurezza e di violazione dei dati. Quando quel contratto non c’è, o si limita a una clausola generica, l’ente si trova a dover rispondere di un evento su cui non aveva né controllo né visibilità. Il tema è trattato nell’approfondimento sulla nomina del responsabile del trattamento.
Data breach nei Comuni della Campania: la notifica e i suoi tempi
L’articolo 33 del Regolamento impone al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne ha avuto conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre quel termine, va motivato il ritardo.
L’articolo 34 aggiunge un secondo obbligo, distinto: quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicarla anche agli interessati. Per un Comune significa, in concreto, rivolgersi ai propri cittadini.
C’è infine un obbligo che nessuno vede dall’esterno ma che l’Autorità verifica sempre: la documentazione interna di tutte le violazioni, comprese quelle non notificate, con le motivazioni della scelta. Il registro delle violazioni è spesso il primo documento richiesto. Lo studio ha dedicato al punto l’articolo sulla notifica del data breach entro 72 ore.
Quello che viene contestato non è l’attacco
È il passaggio che più sorprende gli amministratori: l’Autorità non sanziona per essere stati attaccati. Sanziona per ciò che l’attacco rivela.
Le carenze che emergono nelle istruttorie sono quasi sempre le stesse: autenticazione a fattore singolo sugli accessi remoti, backup raggiungibili dalla stessa rete compromessa, log assenti o sovrascritti, sistemi non aggiornati, profili di accesso non differenziati, assenza di cifratura sui dati più sensibili. Sono tutte misure che l’articolo 32 del Regolamento richiede di valutare e adottare in funzione del rischio, e la cui mancanza è autonomamente contestabile a prescindere dall’esito dell’attacco. Un quadro analogo emerge dall’articolo sulle carenze contestate nei data breach da ransomware e da quello sulle misure di sicurezza e le sanzioni.
Per un ente pubblico c’è un aggravante strutturale: i dati trattati comprendono categorie particolari — servizi sociali, posizioni tributarie, pratiche di assistenza, dati di minori — e il numero degli interessati coincide, di fatto, con la popolazione residente.
Il ruolo del responsabile della protezione dei dati
Per le pubbliche amministrazioni la designazione del responsabile della protezione dei dati è obbligatoria ai sensi dell’articolo 37 del Regolamento. Nella gestione di una violazione il RPD è il punto di contatto con l’Autorità e il soggetto che deve essere coinvolto tempestivamente in tutte le questioni relative alla protezione dei dati.
Quando la designazione è formale e il RPD viene informato a cose fatte, l’ente perde esattamente la competenza che gli serviva nelle prime ore. Il tema è stato approfondito negli articoli sul DPO nei Comuni della Campania e sull’obbligo di nomina nella pubblica amministrazione.
Le conseguenze, anche oltre la sanzione
L’articolo 83 del Regolamento disciplina le sanzioni amministrative pecuniarie, con la precisazione che gli Stati membri possono stabilire se e in quale misura applicarle alle autorità pubbliche. Ma il profilo sanzionatorio non esaurisce il quadro: restano i poteri correttivi del Garante, le azioni risarcitorie degli interessati previste dall’articolo 82, i riflessi sulla responsabilità amministrativa e contabile e, non da ultimo, la paralisi dei servizi comunali per il tempo necessario al ripristino.
Prima che accada
La differenza tra un ente che gestisce una violazione e uno che la subisce sta tutta nella preparazione: una procedura scritta di gestione degli incidenti, i contatti dei fornitori reperibili, i ruoli assegnati, il registro delle violazioni già impostato, i contratti con i responsabili in regola. Nessuno di questi elementi si costruisce nelle settantadue ore.
Lo studio, con sede a Napoli e attività in tutta Italia, assiste enti pubblici e aziende nell’adeguamento, nell’incarico di responsabile della protezione dei dati e nella gestione delle violazioni, dalla notifica ai rapporti con l’Autorità. Il punto di ingresso è la pagina dedicata alla figura del DPO e, per un primo contatto, la pagina contatti. Per i profili di contenzioso amministrativo che spesso si accompagnano a queste vicende, il riferimento è avvocatoelioerrichiello.it.
Avv. Elio Errichiello
