La notifica delle violazioni dei dati è il processo con cui si informa l’autorità di controllo competente e, in alcuni casi, le persone interessate quando un incidente riguardante dati personali soddisfa i criteri di notifica previsti dalla legge. In base al GDPR, in genere le organizzazioni notificano la violazione all’autorità di controllo competente entro 72 ore dal momento in cui ne vengono a conoscenza, a meno che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. Le persone interessate devono essere informate senza ingiustificato ritardo quando è probabile che la violazione comporti un rischio elevato. I requisiti e le scadenze variano a seconda della giurisdizione.
In pratica, le organizzazioni hanno bisogno di procedure di risposta agli incidenti che identifichino i dati esposti, valutino i potenziali danni, conservino le prove e sottopongano le decisioni alle persone responsabili della notifica. Gli aggressori possono sottrarre o divulgare dati personali tramite ransomware, account compromessi o sistemi sfruttati. Registri chiari, procedure di escalation e valutazioni del rischio documentate aiutano i team a rispettare le scadenze e a motivare le proprie decisioni; la notifica non sostituisce il contenimento dell’incidente né la messa in sicurezza dei sistemi interessati.