# Obbligu ta' notifika skont il-GDPR: 72 siegħa wara l-inċident

> Ksur tad-data u obbligu ta' notifika fi 72 siegħa: x'jeħtieġu l-Art. 33 u 34 GDPR wara attakk fuq server u x'għandkom tiddokumentaw issa.

Sors: https://phpsos.de/mt/compliance/dsgvo-meldepflicht-72-stunden/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Jekk f'attakk tinkiser il-protezzjoni tad-data personali, l-Art. 33 GDPR jeħtieġ notifika lill-awtorità superviżorja, jekk possibbli fi żmien 72 siegħa minn meta ssir magħrufa, sakemm ikun hemm riskju għall-persuni kkonċernati. F'każ ta' riskju għoli jiżdied, skont l-Art. 34, l-informazzjoni lill-persuni kkonċernati. Indipendentement minn dan, kull ksur irid jiġi ddokumentat. Din il-paġna hija informazzjoni ġenerali u mhux parir legali.

> **Importanti:**
> Mhux parir legali: jekk u meta jeżisti obbligu ta' notifika f'każ speċifiku, jevalwawh l-uffiċjal tal-protezzjoni tad-data tagħkom jew avukat. Aħna nipprovdu l-fatti tekniċi li fuqhom tistrieħ din l-evalwazzjoni.

## Ksur tad-data u obbligu ta' notifika fi 72 siegħa: dak li jirregola l-Art. 33

L-Art. 33 GDPR jikkonċerna l-“ksur tal-protezzjoni tad-data personali”. Jinftiehem kull ksur tas-sigurtà li jwassal għal qirda, telf, bidla, żvelar mhux awtorizzat jew aċċess mhux awtorizzat għal data personali. Server tal-web kompromess b'database tal-klijenti, formoli ta' kuntatt jew data ta' applikanti jista' jaqa' hawnhekk.

In-notifika lill-awtorità superviżorja għandha ssir mingħajr dewmien u, jekk possibbli, fi żmien 72 siegħa wara li l-kontrollur isir jaf bil-ksur. Taqa' jekk il-ksur x'aktarx ma jwassalx għal riskju għad-drittijiet u l-libertajiet ta' persuni fiżiċi. Min jinnotifika aktar tard minn 72 siegħa jrid jiġġustifika d-dewmien. L-informazzjoni tista' tiġi ppreżentata gradwalment.

## X'għandu jkun fin-notifika

L-Art. 33(3) GDPR isemmi kontenut minimu. Għandkom tħejju dawn il-punti, anke jekk għadu mhux kollox ċar:

- in-natura tal-ksur, jekk possibbli bil-kategoriji u n-numru approssimattiv tal-persuni u tar-records ikkonċernati
- l-isem u d-dettalji ta' kuntatt tal-uffiċjal tal-protezzjoni tad-data jew ta' punt ieħor ta' kuntatt
- il-konsegwenzi probabbli tal-ksur
- il-miżuri meħuda jew proposti biex jissewwa l-ksur u biex jittaffew l-effetti negattivi possibbli

Preċiżament fil-każ ta' attakki fuq servers tal-web l-estensjoni tipikament tkun mhux ċara fil-bidu. Imbagħad tgħin notifika inizjali onesta bl-istat magħruf u bl-avviż li tiġi mibgħuta aktar informazzjoni meta tinkiseb.

## Meta jibda t-terminu wara attakk fuq server?

It-terminu jiddependi mill-għarfien, mhux mill-mument tal-attakk. Fil-prattika d-distinzjoni spiss hija diffiċli: rapport dwar vulnerabbiltà bħal PHP2Shell waħdu ma joħloqx għarfien ta' ksur tal-protezzjoni tad-data. Jekk issibu, madankollu, indikazzjonijiet konkreti ta' dħul mhux awtorizzat, pereżempju webshell jew mistoqsijiet suspettużi lid-database, is-sitwazzjoni tista' tidher differenti.

Għalhekk iddokumentaw mill-bidu bil-ħin min irċieva liema informazzjoni u liema passi segwew. Din il-kronoloġija tgħin fl-evalwazzjoni legali u fil-mistoqsijiet tal-awtorità. Investigazzjoni teknika bir-reqqa, pereżempju permezz tal-[forensika tal-IT](https://phpsos.de/mt/leistungen/it-forensik/), tikkjarifika jekk u liema data kienet verament affettwata.

## Informazzjoni lill-persuni kkonċernati skont l-Art. 34

Jekk il-ksur x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet personali, il-persuni kkonċernati jridu jiġu infurmati wkoll mingħajr dewmien. Dan jista' jkun il-każ, pereżempju, b'kredenzjali ta' aċċess, dettalji bankarji jew data dwar is-saħħa. L-informazzjoni għandha tiddeskrivi b'lingwa ċara u sempliċi x'ġara u tindika mill-inqas il-punt ta' kuntatt, il-konsegwenzi probabbli u l-miżuri meħuda.

L-Art. 34 jipprevedi eċċezzjonijiet, pereżempju meta d-data saret inaċċessibbli għal persuni mhux awtorizzati, pereżempju permezz ta' kriptaġġ. Jekk l-informazzjoni ta' kull persuna individwali tinvolvi sforz sproporzjonat, minflok tista' tiġi kkunsidrata komunikazzjoni pubblika jew miżura simili b'effett ekwivalenti. Jekk tapplikax eċċezzjoni jagħmel parti mill-evalwazzjoni legali. Kif tinformaw lill-klijenti b'mod li jinftiehem jiddeskrivi [Komunikazzjoni f'kriżi wara attakk](https://phpsos.de/mt/compliance/krisenkommunikation/).

## L-obbligu ta' dokumentazzjoni skont l-Art. 33(5)

Indipendentement mill-obbligu ta' notifika, l-Art. 33(5) GDPR jeħtieġ li kull ksur jiġi ddokumentat: il-fatti, l-effetti u l-miżuri korrettivi meħuda. Din id-dokumentazzjoni trid tippermetti lill-awtorità superviżorja tivverifika. Dan japplika wkoll jekk wara l-eżami tasal għall-konklużjoni li ma hija meħtieġa l-ebda notifika.

Għal servers tal-web dan fil-prattika jfisser: nissalvaw il-logs qabel ma jiġu rotati, innotaw is-sejbiet bil-ħin, niddokumentaw id-deċiżjonijiet u r-raġunijiet tagħhom. F'PHP2Shell l-istampa speċjalizzata tirrakkomanda li l-logs tas-server jinżammu mill-20/10/2026 'il quddiem. Patch barra minn hekk ma jneħħix malware li diġà ġiet introdotta u ma jippruvax li qabel ma ġara xejn.

## Proċess prattiku fl-ewwel sigħat

1. Irrapportaw is-suspett internament lil punt fiss u involvu lill-uffiċjal tal-protezzjoni tad-data.
2. Issalvaw il-provi: logs, listi tal-fajls, estratti tad-database, qabel ma jitħassar jew jerġa' jitwaqqaf xi ħaġa.
3. Ikkjarifikaw teknikament jekk tistax tkun affettwata data personali.
4. Evalwazzjoni legali tal-obbligu ta' notifika u ta' informazzjoni, jekk meħtieġ ma' avukat u assiguratur.
5. Notifika permezz tal-formola tal-awtorità superviżorja kompetenti, supplimenti meta jkun hemm sejbiet ġodda.

[Pjan ta' emerġenza tal-IT](https://phpsos.de/mt/compliance/notfallplan-erstellen/) imħejji jqassar b'mod konsiderevoli dawn il-passi.

## Kif tgħin PHP SOS b'mod konkret?

- Nissalvaw il-logs u l-istati tas-sistema b'mod li jibqgħu utilizzabbli għall-evalwazzjoni u għal verifika aktar tard.
- Nikkjarifikaw teknikament jekk u liema data setgħet tintlaħaq, u nipprovdu sommarju li jinftiehem għall-uffiċjali tal-protezzjoni tad-data u l-avukati.
- Inżommu kronoloġija tas-sejbiet tekniċi li tistgħu tużaw għan-notifika u d-dokumentazzjoni.
- F'każ ta' dħul mhux awtorizzat ikkonfermat nieħdu f'idejna l-[Incident Response](https://phpsos.de/mt/leistungen/incident-response/) u t-tindif.


## Mistoqsijiet frekwenti

**Minn meta jibdew jgħaddu l-72 siegħa?**  
Skont l-Art. 33 GDPR, minn meta l-kontrollur isir jaf bil-ksur. Meta dan jitqies li seħħ f'każ speċifiku hija evalwazzjoni legali. Għalhekk iddokumentaw eżattament meta min kellu liema informazzjoni.

**Kull vulnerabbiltà tas-sigurtà trid tiġi nnotifikata?**  
Le. Vulnerabbiltà waħedha mhijiex għadha ksur tal-protezzjoni tad-data personali. Jista' jinqala' obbligu ta' notifika meta jkun hemm indikazzjonijiet li persuni mhux awtorizzati kellhom jew setgħu kellhom aċċess għal dik id-data, u minn dan jirriżulta riskju għall-persuni kkonċernati.

**U jekk wara 72 siegħa għadni ma nafx kollox?**  
L-Art. 33(4) GDPR jippermetti li l-informazzjoni tiġi ppreżentata gradwalment meta ma tkunx tista' tiġi pprovduta fl-istess ħin. Notifika tard trid tiġi ġustifikata. Li wieħed jistenna ċarezza sħiħa għalhekk ġeneralment mhuwiex raġuni biex iħalli jiskadi t-terminu.

**Min jinnotifika jekk il-hoster kien affettwat?**  
Obbligat jinnotifika huwa l-kontrollur, jiġifieri ġeneralment il-kumpanija li taħdem il-websajt. Pproċessur bħall-hoster irid jinforma lill-kontrollur mingħajr dewmien skont l-Art. 33(2) GDPR.

**Fejn nirrapporta ksur tad-data?**  
Lill-awtorità superviżorja kompetenti tal-protezzjoni tad-data; għal kumpaniji fil-Ġermanja ġeneralment l-awtorità tal-Bundesland fejn għandhom is-sede. Il-biċċa l-kbira tal-awtoritajiet joffru formoli online għal dan.

## Sorsi

- [GDPR Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)](https://www.bsi.bund.de/)
- [php.net: Avviżi tas-sigurtà](https://www.php.net/)