La prima risposta deve accertare i fatti, proteggere le persone e preservare la fiducia nell’impresa.
Lunedì mattina, alle 9:12, un dipendente informa il fondatore che un foglio di calcolo è stato inviato al cliente sbagliato. Potrebbe contenere nomi, indirizzi e coordinate bancarie. Il destinatario non ha risposto. Il fornitore IT chiede di aprire un ticket di assistenza. Il cliente i cui dati sono coinvolti si aspetta una telefonata.
È così che spesso una violazione dei dati entra in una piccola impresa. Non con un attacco spettacolare, ma attraverso un gesto ordinario che all’improvviso richiede valutazione giuridica, riscontri tecnici e tatto commerciale. Il tempo comincia a decorrere mentre tutti stanno ancora cercando di capire che cosa sia successo.
Ai sensi del GDPR, una violazione dei dati personali soggetta all’obbligo di notifica deve essere comunicata all’Autoriteit Persoonsgegevens entro 72 ore dal momento in cui il titolare del trattamento ne viene a conoscenza. La notifica non è necessaria quando è improbabile che vi sia un rischio per i diritti e le libertà delle persone. Ogni violazione deve comunque essere documentata internamente.
La prima decisione non può attendere una conoscenza perfetta
La legge non richiede che l’indagine forense sia conclusa prima che la direzione effettui la prima valutazione sull’obbligo di notifica. Le indicazioni del governo olandese consentono di fornire le informazioni per fasi quando i fatti iniziali sono incompleti, purché le informazioni mancanti seguano senza ingiustificato ritardo e ogni ritardo venga motivato.
È una distinzione importante. Aspettare la certezza può consumare l’intero periodo previsto per la notifica. Segnalare sulla base di pochi elementi può creare confusione. La vera disciplina si trova tra questi due estremi: stabilire ciò che è noto, indicare ciò che resta incerto, contenere l’evento e conservare le motivazioni alla base di ogni decisione.
Seguono poi due domande distinte. La notifica all’autorità dipende dal rischio probabile per le persone coinvolte. La comunicazione diretta a quelle persone è invece soggetta alla soglia più elevata del rischio elevato probabile. Una decisione non determina automaticamente l’altra.
Interpreto il termine di 72 ore come una prova di responsabilità organizzativa. Chi ha l’autorità per valutare l’evento? Chi può ottenere i registri degli accessi? Chi contatta il fornitore del software? Chi parla con il cliente? Chi documenta perché la direzione ha effettuato la notifica oppure perché ha concluso che non fosse necessaria?
Esternalizzare l’IT non significa esternalizzare la responsabilità
Il fondatore della nostra scena del lunedì mattina potrebbe disporre di un ottimo fornitore IT. Quel fornitore può bloccare un account, recuperare i registri o verificare se un dispositivo era cifrato. Non può però assumere automaticamente il ruolo giuridico dell’impresa né gestire al suo posto il rapporto con i clienti.
È qui che la distinzione tra titolare e responsabile del trattamento diventa concreta. Il titolare stabilisce perché e come vengono trattati i dati personali. Il responsabile li tratta per conto del titolare. Un piccolo fornitore di servizi paghe, un’agenzia web o uno studio di consulenza può trattare i dati dei clienti in qualità di responsabile, ma agire come titolare per i dati dei propri dipendenti e contatti commerciali.
Un solo incidente può quindi attivare percorsi diversi. Il responsabile deve informare il cliente senza ingiustificato ritardo. Il cliente può poi valutare se notificare la violazione all’Autoriteit Persoonsgegevens. I contratti possono imporre termini di escalation più brevi o richiedere prove specifiche. La direzione deve sapere quale ruolo ricopre l’impresa per ciascun insieme di dati coinvolto.
È qui che la compliance incontra la liquidità. Il personale interrompe il lavoro fatturabile per ricostruire gli eventi. Può essere necessario coinvolgere specialisti esterni. Le fatture restano in attesa mentre i clienti fanno domande. Le trattative per i rinnovi diventano più difficili se l’impresa non sa spiegare quali sistemi fossero coinvolti, quali subfornitori avessero accesso e che cosa sia stato fatto per limitare il danno.
Anche l’incidente ordinario merita seria attenzione
Il CBS ha registrato 37.800 notifiche di violazioni all’Autoriteit Persoonsgegevens nel 2024, rispetto alle 25.700 del 2023. Questi dati contano le notifiche, non necessariamente singoli incidenti, perché eventi comparabili possono essere segnalati insieme. Mostrano comunque la portata della risposta amministrativa richiesta dalle violazioni dei dati personali.
Il quadro generale della cybersicurezza è più ordinario dell’immagine popolare dell’hacker esperto. Nell’indagine CBS relativa al 2024, il 23 per cento delle imprese con almeno due addetti ha segnalato episodi di phishing o spoofing. Solo l’1 per cento ha dichiarato violazioni o manipolazioni di dati causate dall’esterno.
Un’e-mail di pagamento sospetta, una casella di posta compromessa o l’account di un fornitore possono quindi costituire la scena iniziale. La questione relativa alla privacy emerge più tardi, quando l’impresa scopre che dati personali sono stati consultati, modificati, divulgati o resi indisponibili.
Le piccole imprese tendono inoltre ad avere meno livelli di protezione. Nel 2025, il 13 per cento delle imprese con un numero di addetti compreso tra due e dieci aveva adottato almeno dieci delle dodici misure di cybersicurezza rilevate dal CBS. Tra le imprese con almeno 250 addetti, la percentuale era dell’86 per cento. Questa misura riguarda la resilienza generale, non la conformità giuridica. Mostra quanto possa variare la capacità delle imprese di assorbire la pressione.
L’IA rende meno visibile la catena dei fornitori
La stessa questione di controllo si estende ora all’uso quotidiano dell’intelligenza artificiale. Il CBS ha riferito che nel 2025 il 13,8 per cento delle microimprese con un numero di addetti compreso tra due e nove utilizzava almeno una delle tecnologie di IA rilevate. Tra le microimprese che impiegavano l’IA, il software commerciale era la modalità più diffusa.
L’esposizione può trovarsi all’interno di un’applicazione di marketing, amministrazione o assistenza clienti che il personale utilizza già. Inserire dati personali in uno strumento di IA costituisce un trattamento. Le domande pertinenti sono concrete: quali informazioni sono entrate nello strumento, tramite quale account, per quale finalità e secondo quali condizioni contrattuali del fornitore?
Tornando alla riunione del lunedì mattina, l’impresa più solida non è necessariamente quella con il budget per la sicurezza più elevato. È quella capace di identificare rapidamente i dati, il sistema, il destinatario, il cliente e il responsabile della decisione. Il suo registro degli incidenti documenta ciò che è accaduto, le probabili conseguenze, le misure di contenimento e le ragioni alla base delle comunicazioni esterne.
Una simulazione utile parte dalla prima ora. Qualcuno può preservare le prove prima che gli account vengano reimpostati? È prevista una sostituzione quando il decisore abituale è assente? L’impresa può raggiungere rapidamente i propri fornitori cloud, paghe e IT? Il personale conosce un unico percorso chiaro per segnalare un dispositivo smarrito, un’e-mail inviata alla persona sbagliata o un accesso sospetto?
Nel mondo imprenditoriale olandese si sta affermando un’aspettativa semplice: quando qualcosa va storto, la direzione deve comunque essere in grado di rendere conto del proprio operato in modo affidabile. Il termine di 72 ore fa parte di questa aspettativa, ma la questione più profonda è la fiducia. Una risposta calma e documentata protegge le persone, sostiene la valutazione giuridica e dimostra ai clienti che la responsabilità non è scomparsa insieme alla certezza.
Se la vostra organizzazione deve chiarire ruoli e decisioni nella gestione delle violazioni dei dati, contattate Pavan Geraedts per una consulenza pratica.
I dati, le fonti e l’analisi di questo articolo sono stati curati da Paolo Maria Pavan. L’IA non è stata usata per individuare le fonti, costruire la base fattuale o produrre il giudizio analitico. L’IA è stata usata solo come aiuto di redazione. Il testo italiano finale è stato rivisto, corretto e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
Riferimenti
- Datalek melden en voorkomen | Ondernemersplein
- Rijksoverheid - What the 72-hour clock does and does not settle
- CBS - Breach reporting volume versus business incident prevalence
- CBS - Small-firm resilience gap
- CBS - AI use through commercial software and personal-data exposure
- Ondernemersplein - Separate incident clocks for entities in scope of the Cyberbeveiligingswet
- Rijksoverheid - Handleiding Algemene verordening gegevensbescherming
- Ondernemersplein - Slachtoffer van cybercrime
