Cento giorni tra l'intrusione e la decisione

Il 30 luglio 2026 le prime lettere sono arrivate ai destinatari. Vi si leggeva che nome, indirizzo, data di nascita, numero di previdenza sociale, patente, documenti di identità, coordinate bancarie, numeri di carta e cartelle cliniche potevano essere stati sottratti. Per alcune di queste persone i dati rubati della carta comprendevano anche il codice di sicurezza stampato sul retro. A spedirle era CareCloud, una società di software sanitario i cui sistemi custodiscono cartelle per conto di studi medici.

L'intrusione risale a marzo. Gli attaccanti sono rimasti dentro uno dei sei ambienti di cartelle cliniche elettroniche di CareCloud, ospitati su Amazon Web Services, tra il 10 e il 16 marzo 2026. L'ambiente è stato compromesso il 16 marzo e ripristinato la sera stessa. L'azienda ha reso pubblico l'incidente a fine mese, precisando che l'indagine su ciò a cui era stato realmente effettuato l'accesso era ancora in corso.

Quell'indagine si è conclusa il 24 giugno, quando CareCloud ha stabilito che informazioni personali, finanziarie e sanitarie erano state compromesse. Dal 16 marzo al 24 giugno corrono esattamente cento giorni. Fino alle prime lettere ne corrono centotrentasei.

Il termine non parte da dove immaginate

La notifica sanitaria statunitense segue una regola dei sessanta giorni: informare gli interessati senza ritardo irragionevole ed entro e non oltre sessanta giorni di calendario dalla scoperta della violazione. Letta alla lettera, scoperta sembra il giorno in cui si viene a sapere di essere stati violati, qui il 16 marzo. Con quella lettura le lettere arrivano con più di due mesi di ritardo.

La lettura che rende coerente questo calendario è un'altra. Intende per scoperta il giorno in cui l'indagine conclude che informazioni protette erano effettivamente coinvolte, cioè il 24 giugno. Contando sessanta giorni da lì, lettere spedite il 30 luglio rientrano largamente nel termine. È la lettura su cui la prassi si appoggia diffusamente, ed è il motivo per cui questo calendario si può difendere in ogni Stato in cui CareCloud ha depositato la comunicazione, tra cui California, Massachusetts, New Hampshire, Texas e Maine.

Quale che sia la lettura corretta, osservate che cosa produce la seconda. Rende l'inizio del termine un esito dell'indagine, e nessuna regola fissa una scadenza per concludere un'indagine. Un dovere che comincia quando decidete che comincia è un dovere di cui controllate i tempi.

L'Europa ha scritto la regola all'incontrario

L'articolo 33 del GDPR impone al titolare di notificare all'autorità di controllo una violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. Venirne a conoscenza non significa aver chiuso una perizia forense. Significa il punto in cui esiste un ragionevole grado di certezza che un incidente di sicurezza abbia compromesso dati personali, e quel punto arriva quasi sempre molto prima di sapere di chi fossero i dati e quanti.

Il legislatore ha previsto esattamente il vuoto in cui CareCloud ha passato cento giorni. L'articolo 33 paragrafo 4 stabilisce che, quando le informazioni non sono disponibili in una sola volta, possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. L'assunto progettuale è che notifichiate mentre siete ancora al buio e integriate man mano che apprendete. Il modello americano vi lascia aspettare finché non sapete; quello europeo vi impone di segnalare prima di sapere e di continuare a segnalare.

La conseguenza per un operatore non è astratta. Lo stesso incidente, sulla stessa infrastruttura, produce una notifica in 72 ore da una parte dell'Atlantico e un accertamento in cento giorni dall'altra. Se i riflessi del vostro fornitore si sono formati sul secondo calendario, sono proprio quei riflessi a sedersi ora tra voi e la vostra scadenza.

Il quadro cresceva mentre il termine slittava

Rinviare l'inizio del termine peserebbe meno se la prima ricostruzione avesse tenuto. Non ha tenuto. La descrizione fornita da CareCloud a marzo quantificava l'accesso non autorizzato in circa otto ore del 16 marzo, contenuto in un solo ambiente e senza coinvolgere altri sistemi aziendali. Le comunicazioni successive agli Stati descrivono attaccanti presenti in quell'ambiente dal 10 al 16 marzo, cioè sei giorni anziché otto ore.

È cresciuta anche la platea colpita. Le comunicazioni indicano almeno 345.000 persone, in seguito si è parlato di oltre 350.000, e nuovi depositi statali dovrebbero spostare ancora la cifra. L'azienda ha dichiarato che un attaccante ha sostenuto di aver esfiltrato dati dai suoi database, che specialisti esterni hanno messo in sicurezza l'ambiente confermando che non restava alcun accesso non autorizzato persistente, e che non risultano prove di un uso improprio dei dati sottratti. L'amministratore delegato Stephen Snyder ha rifiutato di commentare quando è stato contattato dai giornalisti.

Ognuna di quelle revisioni è andata nella stessa direzione e ognuna è arrivata dopo la prima versione pubblica. Un'indagine che sta ancora allargando la propria stima non è una ragione per far aspettare gli interessati. È la ragione per avvisarli presto e correggere al rialzo in pubblico.

Il numero mancante va messo nel contratto

Se un fornitore tratta dati personali per vostro conto, il titolare siete voi e le 72 ore sono vostre. L'articolo 33 paragrafo 2 impone al responsabile del trattamento di informare il titolare senza ingiustificato ritardo, e a quella formula non associa alcuna cifra. L'articolo 28 richiede che il contratto obblighi il responsabile ad assistervi negli adempimenti dell'articolo 33. Tra quelle due norme resta un vuoto a forma di numero, e se non lo riempite ereditate il calendario che l'autorità del vostro fornitore tollera.

Riempitelo con due clausole, non con una. La prima fissa un termine chiuso, contato in ore, che decorre dal momento in cui il fornitore rileva un incidente di sicurezza in un ambiente che contiene vostri dati, e non dal momento in cui accerta quali dati fossero coinvolti, perché è quel secondo evento a non avere scadenza. La seconda vi dà diritto ai fatti man mano che emergono, compresi gli ambienti toccati, la finestra di accesso e le categorie a rischio, invece di un unico rapporto finito alla fine.

Poi mettetelo alla prova come mettereste alla prova un backup. Chiedete per iscritto ai vostri tre principali responsabili quando hanno avuto l'ultimo incidente di sicurezza in un ambiente con vostri dati, in che data lo hanno rilevato e in che data hanno avvisato un cliente. Un fornitore che non sa separarvi quelle due date su richiesta non le separerà nemmeno sotto pressione. In Italia la notifica arriva al Garante per la protezione dei dati personali, e sarà quell'autorità a chiedere a voi, non al vostro fornitore, perché è arrivata tardi.

Da leggere ora: Un reclamo sui cookie del 2021 è tornato  |  Quattro cloud statunitensi ora rispondono a Londra