Una serie di recensioni negative dopo un disservizio, un post critico che raccoglie condivisioni, il sito irraggiungibile o una notizia che coinvolge clienti: in questi casi la prima urgenza sembra scrivere un post. Spesso, invece, la prima decisione è un’altra: chi può stabilire cosa è accaduto, quale impatto ha e cosa l’azienda è autorizzata a dire?
Pubblicare rapidamente e rispondere bene non sono la stessa cosa. Una risposta utile richiede una catena di autorità esplicita, una separazione fra fatti e ipotesi, un canale di assistenza praticabile e una memoria delle decisioni. La distinzione più importante è fra una crisi reputazionale ordinaria e un incidente che può coinvolgere dati personali: i due percorsi possono sovrapporsi, ma il secondo attiva valutazioni e obblighi specifici.
1. Prima classificazione: reputazione, dati personali o entrambi?
Reclami, recensioni, conversazioni social, errori di comunicazione, articoli sfavorevoli e disservizi possono creare una crisi reputazionale. Se l’evento comporta anche distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati personali, occorre valutare il percorso di data breach previsto dal GDPR. Il Garante per la protezione dei dati personali e le linee guida EDPB descrivono gli obblighi applicabili a questa casistica.
Tre domande da porre subito
Ci sono dati personali potenzialmente coinvolti? I sistemi o gli account sono compromessi? Le persone potrebbero subire conseguenze dall’evento?
Se la risposta è sì anche a una sola domanda, coinvolgere subito il referente tecnico e il titolare del trattamento; DPO, privacy e legale entrano nel flusso secondo l’assetto dell’organizzazione. Non significa annunciare pubblicamente un data breach prima di averlo valutato. Significa evitare che la sola gestione reputazionale faccia perdere elementi utili per contenere l’incidente, valutare il rischio e documentare quanto accaduto.
Il titolare deve documentare tutte le violazioni di dati personali, comprese quelle che non vengono notificate al Garante. Per una crisi solo reputazionale non emerge un obbligo generale equivalente, ma adottare un registro simile è una scelta organizzativa utile.
2. I ruoli minimi: anche in una PMI devono essere espliciti
Una squadra essenziale può essere piccola, ma dovrebbe avere funzioni riconoscibili: decisore con potere di approvazione e spesa; coordinatore dell’incidente; referente tecnico; responsabile comunicazione e portavoce; referente per clienti o partner; legale, privacy e DPO quando necessari. Nelle microimprese una persona può coprire più funzioni, purché autorità, sostituti e recapiti siano definiti in anticipo.
Questa separazione evita un errore ricorrente: chiedere al social media manager di decidere da solo su responsabilità, sicurezza, rimborsi, dati personali o affermazioni che possono avere conseguenze contrattuali e legali. Chi gestisce i canali può monitorare, preparare una bozza e applicare il tono approvato; non deve restare l’unico decisore.
La guida CISA sulla pianificazione della risposta agli incidenti raccomanda di definire responsabilità, stakeholder da avvisare, contatti aggiornati e un responsabile della gestione. Raccomanda inoltre di predisporre in anticipo una struttura per la dichiarazione iniziale. È una guida nata per incidenti cyber, ma il modello è utile quando la crisi reputazionale nasce da un disservizio digitale o da un account compromesso.
- Il coordinatore apre il registro, convoca le persone necessarie e mantiene la cronologia.
- Il tecnico descrive fatti osservati, perimetro e azioni di contenimento, senza trasformare supposizioni in certezze.
- Il decisore approva priorità, risorse, messaggi e impegni verso il pubblico.
- Il portavoce pubblica un messaggio coerente su tutti i canali autorizzati.
- Privacy e legale valutano il percorso applicabile quando entrano in gioco dati personali, obblighi informativi o contestazioni rilevanti.
3. Tempi di risposta: gli SLA interni non sono le 72 ore GDPR
Non esiste un tempo unico e universale entro cui una PMI debba pubblicare una risposta pubblica a ogni crisi reputazionale digitale. Ha più senso stabilire SLA interni, cioè impegni organizzativi, differenziati per gravità e canale.
La priorità può essere classificata con quattro fattori: sicurezza delle persone, possibile coinvolgimento di dati personali, continuità del servizio, ampiezza e velocità di diffusione della conversazione pubblica. Per ogni livello, il piano può distinguere presa in carico, prima verifica, aggiornamento al pubblico o al singolo cliente e riesame periodico. Sono tempi scelti dall’azienda per coordinarsi: non sostituiscono termini normativi.
Le 72 ore previste dal GDPR non sono un timer per recensioni, commenti social o comunicati. Riguardano la notifica al Garante da parte del titolare in caso di violazione di dati personali, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Un eventuale ritardo va motivato. Il riferimento è l’articolo 33 del GDPR.
Quando la violazione presenta un rischio elevato per le persone, il titolare deve comunicare l’accaduto agli interessati senza ingiustificato ritardo, con modalità idonee e salvo le eccezioni previste. La decisione dipende dalla valutazione del rischio elevato e dalle eccezioni applicabili.
4. Il primo messaggio: presa in carico, fatti, prossimo passo
Il primo messaggio non deve spiegare tutto: deve impedire il vuoto informativo senza inventare una spiegazione. La struttura è semplice:
- riconoscere la segnalazione o il disservizio;
- indicare soltanto i fatti verificati;
- dire quale azione immediata è in corso;
- offrire un canale di assistenza appropriato;
- indicare quando arriverà il prossimo aggiornamento, se utile.
Per esempio, una struttura adattabile può essere: «Abbiamo rilevato un problema nell’accesso al servizio e stiamo lavorando per ripristinarlo. Al momento non comunichiamo cause non ancora accertate. Per le richieste urgenti è disponibile questo canale. Pubblicheremo un aggiornamento entro [orario]». Non è un testo da copiare automaticamente: il contenuto deve corrispondere ai fatti disponibili.
Nel thread pubblico non vanno gestiti dati dell’utente, dettagli contrattuali, elementi di sicurezza o contestazioni che richiedono identificazione. In questi casi si può rispondere pubblicamente in modo essenziale e proseguire su un canale individuale verificabile. Spostare la conversazione non deve diventare un modo per sottrarsi al problema: l’eventuale aggiornamento pubblico deve rimanere coerente con ciò che è stato effettivamente risolto.
5. Recensioni negative su Google: risolvere prima, segnalare solo se necessario
Una recensione negativa su Google Business Profile non è rimovibile solo perché sgradita o contestata. Può essere segnalata quando viola le policy della piattaforma; Google osserva anche che le recensioni negative possono evidenziare aree di miglioramento. Le indicazioni sono disponibili nella guida su gestione e segnalazione delle recensioni.
Una risposta pubblica efficace è breve: riconosce l’esperienza riportata, evita dati personali e dettagli difensivi, propone un contatto reale per approfondire. Se emerge un errore dell’azienda, la correzione concreta conta più della discussione sulla formulazione della recensione.
Non offrire denaro, sconti, beni o servizi in cambio di una recensione, della sua modifica o rimozione. Google classifica queste pratiche come fake engagement e può rimuovere contenuti o applicare restrizioni al profilo. La relazione con il cliente può essere recuperata; non deve però trasformarsi in una negoziazione della recensione. Consultare le policy sui contenuti e sulle interazioni false aiuta a distinguere una segnalazione fondata da una semplice contestazione.
6. Il registro decisionale: la memoria verificabile della crisi
Per i data breach la documentazione è un obbligo; per le crisi puramente reputazionali, un registro decisionale con una struttura analoga è una buona pratica. Le fonti non impongono lo stesso set di campi per ogni crisi reputazionale, ma documentazione, responsabilità chiare e miglioramento della risposta sono principi coerenti con le indicazioni del Garante, CISA e NIST.
| Campo | Cosa annotare |
|---|---|
| Identificazione | ID evento, data e ora della segnalazione, fonte e persone coinvolte. |
| Quadro dei fatti | Fatti osservati, elementi da verificare, pubblico coinvolto, impatto e gravità. |
| Decisione | Decisione presa, decisore, pareri tecnico-legale-privacy e motivazione. |
| Comunicazione | Messaggio approvato, canale, ora di pubblicazione e destinatari. |
| Traccia | Screenshot, URL, ticket, log tecnici, versioni dei messaggi e approvazioni. |
| Seguito | Azione successiva, responsabile, scadenza e stato di chiusura. |
Il registro non serve a trovare un colpevole durante l’emergenza. Serve a ricostruire perché si è scelta una certa strada, a evitare messaggi contraddittori fra assistenza e canali pubblici e a rendere possibile un riesame utile. Gli accessi alle prove devono essere adeguati alla sensibilità delle informazioni raccolte.
7. Se i canali ordinari non funzionano
Un piano non dovrebbe dipendere solo da email, chat interna, documenti cloud e account social aziendali: durante ransomware, indisponibilità di servizi cloud o compromissione degli account, questi strumenti possono non essere utilizzabili. CISA raccomanda di pianificare la risposta prima dell’incidente, inclusi contatti e comunicazioni iniziali.
Predisporre quindi un elenco di contatti aggiornato e disponibile fuori dai sistemi ordinari, un canale alternativo già approvato, accessi di emergenza governati e una pagina di stato o modalità equivalente, se coerente con l’infrastruttura. Non occorre una struttura complessa: occorre sapere come convocare chi decide e come raggiungere clienti e partner se gli strumenti abituali sono coinvolti nell’incidente.
Alla chiusura, svolgere un post-mortem proporzionato: cosa è successo, quali segnali sono stati ignorati, quali informazioni mancavano, quali messaggi hanno creato attrito e quali correttivi hanno un responsabile e una data. Il NIST SP 800-61 Rev. 3 colloca risposta, recupero e miglioramento continuo nella gestione del rischio; per crisi reputazionali non tecniche questo è un adattamento metodologico, non una prescrizione normativa.
Checklist prima della prossima crisi
- Un decisore e un sostituto sono nominati?
- Esiste un coordinatore con recapiti aggiornati?
- I ruoli tecnico, comunicazione, clienti e privacy/legale sono assegnati?
- Ci sono soglie chiare per attivare la valutazione di un possibile data breach?
- Gli SLA interni distinguono presa in carico, verifica e aggiornamento, senza usare impropriamente le 72 ore GDPR?
- Esistono un modello di primo messaggio e un registro decisionale?
- Sono disponibili canali alternativi se email, chat o account risultano indisponibili?
- Il piano è stato rivisto dopo l’ultima criticità?
La gestione della crisi reputazionale digitale comincia prima della pubblicazione. Quando ruoli, soglie e prove sono già definiti, la comunicazione può essere tempestiva senza diventare precipitosa.
