Quando si parla di backup, molte aziende pensano subito a una cosa: “L’importante è avere una copia dei dati”.

È vero, ma non basta.

Avere un backup significa poter recuperare informazioni dopo un errore, un guasto, un attacco informatico o una cancellazione accidentale. È una misura fondamentale per garantire continuità operativa e sicurezza. Ma dal punto di vista privacy, il backup non è solo una copia tecnica: è un trattamento di dati personali.

E questo cambia tutto.

Perché se dentro il backup ci sono dati di clienti, dipendenti, fornitori, utenti, documenti HR, email, database, CRM o archivi amministrativi, allora bisogna chiedersi: chi può accedere a quelle copie? Dove sono conservate? Per quanto tempo? Sono cifrate? Vengono testate? Vengono cancellate quando non servono più?

Il DPO entra proprio qui: non per sostituirsi all’IT, ma per aiutare l’azienda a governare i backup come parte della protezione dei dati.

Backup e privacy: perché sono collegati

Un backup serve a proteggere i dati, ma se gestito male può diventare un rischio.

Pensiamo a un archivio di copie conservate per anni, senza criterio. Oppure a dati salvati su cloud non valutati. O ancora a copie accessibili a troppe persone, non cifrate, mai testate, mai cancellate.

In questi casi il backup non è più solo una misura di sicurezza. Diventa un deposito parallelo di dati personali, spesso meno controllato dei sistemi principali.

Il GDPR richiama principi molto concreti: limitazione della conservazione, integrità, riservatezza e misure tecniche e organizzative adeguate. Il Garante Privacy, parlando di misure di sicurezza, richiama anche la necessità di garantire disponibilità, resilienza dei sistemi e capacità di ripristinare tempestivamente i dati in caso di incidente.

Quindi sì: farlo è importante. Ma farli senza governance può creare problemi.

Il grande equivoco: “se è backuppato, può restare per sempre”

Uno degli errori più comuni è pensare che i backup siano fuori dalle normali regole di conservazione.

Non è così.

Se un dato personale deve essere conservato per un certo periodo, non dovrebbe restare disponibile in copie di sicurezza per un tempo indefinito senza motivo. È chiaro che i backup hanno una logica particolare: servono a recuperare sistemi e dati, non a gestire singole cancellazioni quotidiane. Ma questo non significa che possano diventare un archivio eterno.

La domanda corretta è: qual è il periodo di retention dei backup? È coerente con le finalità? È documentato? È tecnicamente applicato?

Il DPO aiuta l’azienda a evitare il classico “teniamo tutto, non si sa mai”, che sembra prudente ma spesso è il contrario della protezione dei dati.

Backup, disaster recovery e continuità operativa

Backup e disaster recovery non sono la stessa cosa.

Il primo è la copia dei dati. Il disaster recovery è il piano che permette di ripristinare sistemi, applicazioni e servizi dopo un incidente.

Puoi averli perfetti, ma se nessuno sa come ripristinarli, in quanto tempo, con quali priorità e con quali responsabilità, la protezione resta incompleta.

Dal punto di vista del DPO, il tema non è solo “abbiamo una copia?”. È anche: l’azienda è in grado di ripristinare i dati personali in modo sicuro, tempestivo e controllato?

Un piano serio dovrebbe indicare quali sistemi sono prioritari, chi decide il ripristino, chi accede alle copie, come si verifica l’integrità dei dati e cosa succede se durante l’incidente emerge anche una violazione di dati personali.

Chi può accedere ai backup?

I back-up spesso sono considerati roba tecnica. Ma dentro possono esserci dati molto sensibili.

Per questo l’accesso deve essere limitato, tracciato e motivato. Non tutti gli amministratori devono poter leggere tutto. Non tutte le copie devono essere consultabili in chiaro. Non tutti i fornitori devono avere accesso senza regole.

Il DPO dovrebbe chiedere:

chi può accedere ai backup?
gli accessi sono nominativi?
sono registrati?
le copie sono cifrate?
il fornitore cloud è stato valutato?
esistono sub-fornitori?
i backup vengono conservati in UE o fuori UE?

Sono domande semplici, ma spesso fanno emergere punti deboli importanti.

Cifrare non è un dettaglio

La cifratura è una delle misure più importanti quando si parla di copie di sicurezza.

Un backup non cifrato può diventare molto pericoloso se viene sottratto, perso o accessibile a persone non autorizzate. Al contrario, un backup cifrato e correttamente gestito riduce il rischio in modo significativo.

Ma attenzione: cifrare non significa solo “attivare una spunta”. Bisogna gestire bene anche le chiavi. Se le chiavi sono accessibili insieme ai backup, se sono condivise tra troppe persone o se non esiste un piano per recuperarle in caso di emergenza, la misura perde efficacia.

Il DPO non deve configurare la cifratura, ma deve assicurarsi che il tema sia stato valutato, documentato e integrato nella governance della sicurezza.

Il test di ripristino: la prova che conta

Un back-up non testato è una promessa, non una garanzia.

Molte aziende scoprono che le copie non funzionano solo quando ne hanno bisogno. File corrotti, database incompleti, credenziali mancanti, tempi di recupero troppo lunghi, versioni sbagliate.

Per questo i test periodici sono fondamentali. Non servono solo all’IT: servono anche alla privacy, perché il GDPR richiede misure capaci di garantire disponibilità e resilienza dei sistemi.

Il DPO dovrebbe chiedere che i test vengano documentati: quando sono stati fatti, cosa è stato ripristinato, quanto tempo è servito, quali problemi sono emersi e quali azioni correttive sono state avviate.

La sicurezza non è dichiarare “abbiamo backup”. È poter dimostrare che funzionano.

Il rischio di dimenticarsi

Ogni azienda ha da qualche parte un vecchio backup dimenticato.

Un disco esterno in un armadio. Una copia su un vecchio server. Un export del gestionale fatto anni prima. Un dump del database usato per una migrazione. Una cartella cloud creata durante un cambio fornitore.

Sono oggetti pericolosi perché nessuno li considera più, ma possono contenere dati personali ancora leggibili.

Il DPO può aiutare l’azienda a fare pulizia: censire le copie, capire cosa contengono, decidere cosa conservare, cancellare ciò che non serve, documentare le scelte.

Anche questo è accountability: sapere non solo dove sono i dati principali, ma anche dove sono le copie.

Backup e data breach

Un backup può essere coinvolto in un data breach in due modi.

Primo: può essere l’oggetto della violazione. Per esempio, una copia sottratta, un archivio cloud esposto, un disco perso, un accesso non autorizzato.

Secondo: può essere lo strumento che salva l’azienda dopo un incidente. Per esempio, in caso di ransomware, cancellazione accidentale o compromissione dei sistemi principali.

In entrambi i casi il DPO deve essere coinvolto. Se il backup viene violato, bisogna valutare i dati coinvolti, il rischio per le persone, l’eventuale notifica al Garante e la comunicazione agli interessati. Se invece il backup serve al ripristino, bisogna verificare che il recupero avvenga in modo sicuro e controllato.

Il backup, quindi, è sia protezione sia possibile punto di rischio.

Una policy che funzioni davvero

Una buona policy backup non deve essere lunghissima. Deve rispondere ad alcune domande essenziali:

quali dati e sistemi vengono copiati;
con quale frequenza;
dove sono conservati;
per quanto tempo;
chi può accedere;
come sono protetti;
quando vengono testati;
come vengono cancellati;
cosa succede in caso di incidente.

Il DPO dovrebbe collaborare con IT e direzione per rendere questa policy coerente con registro dei trattamenti, retention, sicurezza e disaster recovery.

La cosa importante è evitare che backup, privacy e sicurezza viaggino su binari separati. Garante Privacy — Misure di sicurezza

Errori comuni da evitare

Il primo errore è conservare backup senza una retention chiara.

Il secondo è non cifrare le copie o gestire male le chiavi.

Il terzo è non testare mai il ripristino.

Il quarto è lasciare accessi troppo ampi agli amministratori o ai fornitori.

Il quinto è dimenticare vecchie copie dopo migrazioni, cambi software o passaggi cloud.

Il sesto è pensare che il backup sia solo un tema IT. In realtà, quando contiene dati personali, è anche un tema privacy.

Conclusione

Il backup è una misura indispensabile, ma non basta “avere una copia”. Bisogna sapere cosa si copia, dove finisce, chi può accedere, quanto resta conservato e se può essere davvero ripristinato quando serve.

Il DPO aiuta l’azienda a collegare backup, privacy, sicurezza e continuità operativa. Non entra nel dettaglio tecnico al posto dell’IT, ma fa le domande giuste per evitare archivi fuori controllo, dati dimenticati e procedure solo teoriche.

Se vuoi rivedere backup, retention e disaster recovery in ottica GDPR, contatta il DPO Alessandro Simonassi (P.I. Computers) tramite il form:
https://picomputers.it/contatti/