Data breach a Monaco: 72 ore

L'APDP, l'autorità monegasca per la protezione dei dati, ha reso noto di aver registrato un aumento significativo delle violazioni di dati personali notificate dall'inizio del 2026. Non è necessariamente il segnale che il Principato sia diventato meno sicuro: è soprattutto il segnale che le imprese stanno finalmente scoprendo l'esistenza di questo obbligo. La legge n. 1.565 del 3 dicembre 2024 ha introdotto un dovere per il quale molte società monegasche non hanno ancora alcuna procedura — e il giorno in cui serve è il momento peggiore per improvvisarla.

Questo articolo descrive la forma concreta di quell'obbligo: che cosa costituisce una violazione, che cosa significa davvero il termine di 72 ore e che cosa conviene avere pronto prima che accada qualcosa.

Che cosa conta come violazione: molto più di quanto si creda

La maggior parte degli imprenditori immagina un hacker che sottrae un database clienti. È solo una delle ipotesi. La definizione giuridica è ben più ampia: qualsiasi incidente di sicurezza che comporti la distruzione, la perdita, la modifica, la divulgazione non autorizzata di dati personali o l'accesso non autorizzato agli stessi, in modo accidentale o illecito.

Nella pratica, gli episodi che arrivano davvero alle autorità sono banali:

• Un collaboratore invia un elenco clienti al destinatario sbagliato.
• Una newsletter parte con tutti gli indirizzi in "A" anziché in Ccn.
• Un portatile o una chiavetta USB non cifrata viene dimenticata in taxi.
• L'account di un ex dipendente non viene mai disattivato e viene usato mesi dopo.
• Un backup, un modulo o una cartella cloud mal configurati rendono i dati pubblicamente raggiungibili.
• Un ransomware cifra i vostri file: la perdita di accesso è già di per sé una violazione, anche senza esfiltrazione.

Il riflesso «non hanno rubato nulla, quindi non è successo niente» è quindi sbagliato. Anche perdere l'accesso ai dati, o la loro integrità, conta.

Il termine di 72 ore, con precisione

L'articolo 32 della legge n. 1.565 impone al titolare del trattamento di notificare all'APDP una violazione di dati personali senza ingiustificato ritardo e, ove possibile, entro un termine massimo di settantadue ore da quando ne è venuto a conoscenza, salvo che la violazione non sia suscettibile di comportare un rischio per i diritti e le libertà delle persone interessate. Se la notifica avviene oltre tale termine, deve essere corredata dalle ragioni del ritardo.

Tre dettagli cambiano il modo in cui vi dovete organizzare:

Il conto alla rovescia parte dalla conoscenza, non dall'incidente. Se la violazione è avvenuta a marzo e la scoprite a luglio, il termine decorre da luglio. La vostra capacità di rilevamento determina quindi direttamente la vostra esposizione giuridica.

Settantadue ore includono il fine settimana. Una scoperta il venerdì sera non vi porta fino a mercoledì. Se in azienda nessuno è autorizzato ad agire fuori dall'orario d'ufficio, il problema esiste già prima dell'incidente.

La notifica deve avere sostanza. Descrive la natura della violazione indicando, ove possibile, le categorie e il numero approssimativo di persone interessate, oltre al nome e ai recapiti del responsabile della protezione dei dati o di un altro punto di contatto presso cui ottenere ulteriori informazioni. L'APDP mette a disposizione un modulo di notifica e i propri recapiti sul suo sito: meglio usarli che improvvisare.

Non vi si chiede un'analisi forense completa in 72 ore. Vi si chiede di segnalare rapidamente e di completare il quadro man mano che emerge.

Quando bisogna informare anche le persone interessate

Notificare l'autorità è un obbligo. L'articolo 32 disciplina anche la comunicazione alle persone interessate, senza ingiustificato ritardo, quando la violazione è per loro sufficientemente grave. Tale comunicazione deve descrivere la violazione in termini chiari e semplici e illustrare le probabili conseguenze e le misure adottate.

La legge prevede delle eccezioni — in sostanza: quando i dati erano già protetti da misure, come la cifratura, che li rendono incomprensibili a chi non è autorizzato; quando la comunicazione individuale richiederebbe uno sforzo sproporzionato (si può allora ricorrere a una comunicazione pubblica); oppure quando misure successive fanno sì che il rischio non sia più suscettibile di concretizzarsi. L'APDP può comunque esigere che le persone vengano informate.

Le soglie esatte e la loro applicazione al vostro caso spettano a un consulente qualificato. Non decidete da soli, sotto pressione, che la vostra situazione rientra in un'eccezione: è proprio questo il ragionamento che l'autorità esaminerà a posteriori.

Il registro da tenere anche senza notifica

È l'obbligo che più spesso sfugge. L'articolo 32 impone di documentare ogni violazione di dati personali — comprese quelle che ritenete non notificabili — annotando i fatti, gli effetti e le misure correttive adottate. L'APDP pubblica un modello di registro scaricabile: la pagina bianca non è più una scusa.

Il registro trasforma una decisione difendibile in una decisione dimostrabile. Se avete valutato un incidente a basso rischio e scelto di non notificarlo, il registro prova che quella valutazione l'avete effettivamente fatta. Senza, «ci è sembrato poco grave» è indistinguibile da «non ce ne siamo accorti».

Prepararsi prima che accada

La risposta a una violazione è un processo aziendale con una componente tecnica, non il contrario. Che cosa conviene avere pronto:

• Un decisore designato e un sostituto, raggiungibili fuori orario, con l'autorità di notificare.
• Una procedura interna di una pagina: chi viene avvisato, in che ordine e che cosa si annota.
• Una mappa dei dati: quali dati personali si trovano nel sito, nel CRM, nello strumento di prenotazione, nella piattaforma di emailing e nei backup, e chi sono i vostri responsabili del trattamento. Se sono sparsi tra strumenti scollegati, è un buon motivo per consolidare il vostro impianto di email marketing e CRM.
• Contratti con i fornitori che li obblighino ad avvisarvi in fretta. Hosting provider, agenzia e piattaforma di pagamento spesso rilevano un incidente prima di voi.
• Igiene tecnica di base: software aggiornato, account amministratore limitati, dispositivi cifrati, backup testati. Gran parte di questo è ordinaria manutenzione del sito e non un progetto straordinario — ed è ciò che vi consente di affermare onestamente che i dati erano protetti.
• Superficie ridotta: se il vostro negozio online o i vostri moduli raccolgono dati che non usate mai, smettete di raccoglierli. Ciò che non conservate non può trapelare.

Un promemoria specifico per Monaco

Monaco non è uno Stato membro dell'Unione europea e non è soggetta al GDPR. Il Principato ha un proprio quadro normativo — la legge n. 1.565 del 3 dicembre 2024, sotto la vigilanza dell'APDP — costruito su uno standard comparabile ma distinto, con testi, moduli e aspettative propri. I consigli scritti per società francesi o europee sono un'analogia utile e un pessimo sostituto. E se vi affidate a fornitori fuori Monaco, gli obblighi restano vostri in quanto titolari del trattamento.

Se volete vedere con chiarezza dove risiedono davvero i dati personali nel vostro sito, nel vostro negozio o nei vostri sistemi clienti — e che cosa potreste dire all'APDP entro 72 ore — contattateci. Possiamo mettere in ordine il lato tecnico della vostra conformità APDP prima che serva; per l'interpretazione giuridica della legge n. 1.565, rivolgetevi a un consulente monegasco qualificato.