# Un attacco ransomware va notificato ai sensi del GDPR?

Spesso sì, se sono coinvolti dati personali, anche quando nulla è stato rubato. Il GDPR definisce all'articolo 4, punto 12, la violazione dei dati personali come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. La cifratura da ransomware rende i dati indisponibili, una violazione della disponibilità, e gli attaccanti spesso copiano i dati prima di cifrarli. Secondo l'articolo 33 il titolare notifica la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone, per esempio perché un backup recente ha ripristinato tutto in fretta e nulla è uscito dalla rete. Documenti il ragionamento in entrambi i casi. NetSenX può mostrare se prima della cifratura sono partiti caricamenti insoliti da dispositivi monitorati, il che conta per questa valutazione.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

FAQ: [Scadenze di notifica](https://netsenx.com/it/faq/reporting) · https://netsenx.com/it/faq/do-we-have-to-report-ransomware-under-the-gdpr

## Da leggere dopo

- https://netsenx.com/it/nis2-incident-reporting-deadlines
- https://netsenx.com/it/nis2-network-monitoring

## Domande correlate

- [Se i dati rubati erano cifrati, bisogna comunque notificare?](https://netsenx.com/it/faq/if-stolen-data-was-encrypted-must-we-still-notify)
- [Non riusciamo a completare la notifica GDPR entro 72 ore. Possiamo notificare per fasi o in ritardo?](https://netsenx.com/it/faq/we-cannot-meet-72-hours-can-we-notify-in-phases)
- [Quando inizia a decorrere il termine di 72 ore del GDPR?](https://netsenx.com/it/faq/when-does-the-gdpr-72-hour-clock-start)
- [Un incidente, più notifiche: come si combinano NIS2, GDPR e DORA?](https://netsenx.com/it/faq/one-incident-several-reports-nis2-gdpr-dora)
- [Che cos'è un incidente grave connesso alle TIC secondo il DORA?](https://netsenx.com/it/faq/what-is-a-major-ict-incident-under-dora)