Data breach nello studio dello psicologo: cosa fare nelle prime 72 ore
Premessa: questa guida offre indicazioni generali e operative, non sostituisce una valutazione legale o privacy sul caso concreto. Se l'incidente coinvolge dati sanitari o molte persone, confrontati tempestivamente con il tuo consulente privacy, il DPO se presente o un professionista competente.
Una mail inviata al destinatario sbagliato. Un portatile rubato. Una password compromessa. Un ransomware che rende irraggiungibili le cartelle dei pazienti. Nello studio di uno psicologo, un data breach non è necessariamente un grande attacco informatico: può iniziare da un errore quotidiano.
Il punto non è soltanto evitare l'incidente. È sapere cosa fare quando accade. Il GDPR richiede di documentare ogni violazione e, nei casi che presentano un rischio per le persone, di attivarsi rapidamente. Le famose 72 ore non sono un conto alla rovescia automatico per qualsiasi problema, ma nemmeno un termine da prendere alla leggera.
In questa guida vediamo come riconoscere un data breach, quali azioni compiere subito, come valutare il rischio e quando notificare il Garante o informare i pazienti.
Cos'è davvero un data breach
Il GDPR definisce la violazione dei dati personali come un incidente di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali.
La definizione copre tre dimensioni.
Riservatezza: qualcuno vede dati che non dovrebbe vedere. Per esempio, una nota clinica inviata alla persona sbagliata o un accesso non autorizzato all'account.
Integrità: i dati vengono modificati in modo non autorizzato o non sono più affidabili.
Disponibilità: i dati vengono persi o diventano temporaneamente inaccessibili, come nel caso di un dispositivo guasto senza backup o di un ransomware.
Non ogni guasto informatico è quindi un data breach. Lo diventa quando coinvolge dati personali. Al contrario, non serve che ci sia un hacker: anche un errore umano, una cancellazione accidentale o un documento lasciato in un luogo accessibile possono costituire una violazione.
Nello studio psicologico il livello di attenzione è particolarmente alto, perché cartelle, appunti, consensi e registrazioni possono contenere dati relativi alla salute, che il GDPR considera categorie particolari di dati. Questo non significa che ogni incidente debba automaticamente essere notificato, ma la natura delle informazioni pesa molto nella valutazione del rischio.
Per ridurre la probabilità di incidenti, può essere utile affiancare a questa procedura una checklist minima di cybersecurity per lo studio.
Cosa fare appena scopri la violazione
I primi minuti servono a limitare il danno e a raccogliere informazioni. L'obiettivo non è trovare subito un colpevole, ma fermare l'incidente senza cancellare le tracce che serviranno per capirlo.
1. Contieni l'incidente. Revoca le sessioni sospette, blocca l'account compromesso, cambia le credenziali da un dispositivo sicuro e isola, con l'aiuto tecnico necessario, il sistema coinvolto. Se hai inviato un documento alla persona sbagliata, chiedine la cancellazione e verifica se sia stato aperto o inoltrato.
2. Non distruggere le prove. Conserva email, notifiche, log, screenshot, orari e messaggi del fornitore. Formattare subito un dispositivo o cancellare una casella può rendere più difficile ricostruire l'accaduto.
3. Delimita il perimetro. Annota quali dati sono coinvolti, quante persone potrebbero essere interessate, per quanto tempo l'esposizione è durata e se i dati erano cifrati o protetti da credenziali.
4. Attiva i contatti giusti. Se lavori con un gestionale, un cloud provider o una struttura, segnala immediatamente l'incidente attraverso il canale previsto. Coinvolgi il DPO, se presente, o il consulente privacy. Se lavori dentro un centro, segui la procedura del titolare del trattamento invece di agire autonomamente.
5. Ripristina la continuità in sicurezza. Se i dati sono indisponibili, usa backup verificati e puliti. La fretta di tornare operativi non deve reintrodurre la stessa vulnerabilità.
Tieni questa procedura anche fuori dal computer principale, per esempio in una copia stampata o in un archivio separato. Se l'account o il dispositivo diventano inaccessibili, una checklist salvata solo lì non serve.
Come valutare il rischio per le persone
Dopo il contenimento bisogna chiedersi quali conseguenze concrete possa avere l'incidente per i pazienti o per le altre persone coinvolte. La valutazione non dipende da un solo elemento.
Considera almeno:
tipo di violazione: accesso, perdita, modifica o indisponibilità;
natura e sensibilità dei dati;
quantità di persone e documenti coinvolti;
possibilità di identificare gli interessati;
durata dell'esposizione;
misure già presenti, come cifratura e autenticazione;
possibili conseguenze, tra cui perdita di riservatezza, discriminazione, danno reputazionale, frode o compromissione del segreto professionale.
Da questa analisi derivano tre livelli operativi.
Se è improbabile che vi sia un rischio per i diritti e le libertà delle persone, la notifica al Garante può non essere necessaria. La violazione e le ragioni della scelta vanno comunque documentate.
Se esiste un rischio non trascurabile, il titolare deve notificare la violazione al Garante.
Se il rischio è elevato, oltre alla notifica può essere necessaria la comunicazione agli interessati.
La presenza di dati sanitari è un fattore importante, ma non sostituisce l'analisi. Un portatile cifrato, protetto e bloccato presenta uno scenario diverso da un archivio clinico in chiaro accessibile a terzi.
Una buona checklist GDPR per le cartelle cliniche digitali aiuta a predisporre prima dell'incidente le informazioni necessarie per questa valutazione.
Quando notificare il Garante entro 72 ore
L'articolo 33 del GDPR stabilisce che il titolare del trattamento notifichi la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone.
“Nelle 72 ore” non significa che devi avere già risolto tutto. La notifica può essere completata in fasi successive quando non è possibile fornire immediatamente ogni informazione. Significa però che l'indagine non può diventare un motivo per rimandare senza fine.
Secondo le linee guida europee, il titolare può considerarsi a conoscenza quando ha una ragionevole certezza che si sia verificato un incidente di sicurezza che ha compromesso dati personali. Da quel momento è importante registrare data e ora, perché spiegano come è stato calcolato il termine.
La notifica deve indicare, per quanto possibile:
natura della violazione;
categorie e numero approssimativo di persone e registrazioni coinvolte;
contatto del DPO o di un altro referente;
probabili conseguenze;
misure adottate o proposte per rimediare e limitare gli effetti.
Se la notifica arriva oltre le 72 ore, devono essere spiegati i motivi del ritardo. In Italia si utilizza la procedura telematica disponibile sul portale del Garante. Non inviare moduli trovati casualmente online: la pagina istituzionale mette a disposizione anche uno strumento di autovalutazione e il collegamento alla procedura corretta.
Quando informare i pazienti e cosa chiedere al fornitore
La comunicazione ai pazienti non coincide con la notifica al Garante. L'articolo 34 del GDPR la richiede quando la violazione può comportare un rischio elevato per i loro diritti e le loro libertà.
La comunicazione deve essere fatta senza ingiustificato ritardo, con un linguaggio chiaro. Deve spiegare la natura della violazione, il contatto a cui rivolgersi, le possibili conseguenze e le misure adottate. Il suo scopo non è soltanto adempiere a un obbligo: deve permettere alla persona di proteggersi, per esempio cambiando una password o prestando attenzione a comunicazioni sospette.
Esistono circostanze in cui la comunicazione individuale può non essere richiesta, ad esempio quando misure successive eliminano il rischio elevato o quando i dati erano resi incomprensibili da protezioni efficaci. È una valutazione da documentare, non una scorciatoia per evitare una conversazione difficile.
Se l'incidente nasce presso un fornitore che tratta dati per tuo conto, quel fornitore opera normalmente come responsabile del trattamento e deve informare il titolare senza ingiustificato ritardo. Il contratto e il DPA dovrebbero indicare canale di contatto, tempi, assistenza, sub-responsabili e informazioni che riceverai.
Per gli strumenti con intelligenza artificiale, controlla anche cosa accade ad audio, trascrizioni e output. La guida sulla trascrizione AI delle sedute psicologiche raccoglie le verifiche preventive più importanti.
Domande frequenti
Un portatile rubato va sempre notificato?
Non automaticamente. Bisogna valutare quali dati conteneva, se erano cifrati, se il dispositivo era bloccato, se è possibile revocare l'accesso e quali conseguenze sono plausibili. L'incidente va comunque registrato e valutato.
Una mail inviata alla persona sbagliata è un data breach?
Può esserlo, perché comporta una divulgazione non autorizzata. Contenuto, destinatario, possibilità di recupero e avvenuta apertura incidono sul rischio.
Un ransomware è una violazione anche senza prova di furto dei dati?
Può esserlo. La perdita di disponibilità è una forma di violazione, anche quando non è dimostrata l'esfiltrazione. Servono analisi tecnica e valutazione delle conseguenze.
Posso aspettare di sapere tutto prima di notificare?
No, se la violazione è soggetta a notifica. Il GDPR consente di fornire informazioni in fasi successive. È meglio indicare con trasparenza ciò che è ancora in verifica.
Devo informare tutti i pazienti dello studio?
No. La comunicazione riguarda le persone interessate dalla violazione quando il rischio per loro è elevato. Il perimetro va ricostruito con attenzione.
Se uso un gestionale, la responsabilità passa al fornitore?
No. Nello studio privato il professionista resta normalmente titolare dei dati dei pazienti. Il fornitore ha obblighi propri come responsabile, ma non sostituisce le decisioni del titolare. Se lavori per una struttura, verifica i ruoli definiti dall'organizzazione.
In conclusione
Un data breach non si gestisce iniziando dalle 72 ore. Si gestisce iniziando da una procedura: contenere, documentare, delimitare, valutare il rischio e poi decidere le comunicazioni corrette.
La preparazione conta più dell'improvvisazione. Tieni pronti il contatto del consulente o DPO, quello dei fornitori, una copia del DPA, il registro delle violazioni e una checklist accessibile anche se il sistema principale non funziona.
Nessun software può rendere impossibile un incidente. Può però rendere più chiari i ruoli, proteggere i dati con misure adeguate e assisterti tempestivamente se qualcosa accade. GestAI pubblica Informativa Privacy, Termini e lista dei sub-responsabili; per i dati dei pazienti opera come responsabile del trattamento e si impegna ad avvisare il professionista senza ingiustificato ritardo in caso di violazione.
Se vuoi valutare GestAI per la gestione organizzativa e documentale del tuo studio, puoi provarlo per 30 giorni senza carta di credito su www.gestai.it.
Fonti
https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it
https://www.garanteprivacy.it/data-breach
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9667201
