Approfondimento dimostrativo. Articolo informativo dello Studio Legale Aster, studio fittizio creato per la demo AG Agile Legal Site. Il contenuto ha carattere generale, non costituisce parere legale e va verificato alla luce della normativa vigente al momento della lettura.
Un attacco informatico, una email inviata al destinatario sbagliato, un computer portatile smarrito: le violazioni di dati personali possono colpire qualsiasi organizzazione. Il GDPR stabilisce obblighi precisi e tempi stretti. Prepararsi in anticipo fa la differenza tra una gestione ordinata e una situazione di emergenza.
Che cos’è una violazione dei dati personali
L’articolo 4 del Regolamento (UE) 2016/679 definisce la violazione dei dati personali come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Non si tratta quindi solo di attacchi esterni: anche un errore umano può configurare un data breach.
Le prime ore: contenere e valutare
- Attivare la procedura interna e coinvolgere le figure responsabili: IT, ufficio legale e, se nominato, il responsabile della protezione dei dati
- Contenere la violazione: isolare i sistemi coinvolti, modificare le credenziali, bloccare gli accessi non autorizzati
- Raccogliere le informazioni: quando è avvenuta, quali dati e quali sistemi sono coinvolti, quante persone potrebbero essere interessate
- Valutare il rischio per i diritti e le libertà delle persone
La notifica al Garante
Secondo l’articolo 33 del GDPR, il titolare deve notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. Se la notifica avviene oltre questo termine, deve essere accompagnata dai motivi del ritardo.
La notifica descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, i dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto, le probabili conseguenze e le misure adottate o proposte. Se non tutte le informazioni sono disponibili subito, possono essere fornite in fasi successive.
La comunicazione agli interessati
Quando la violazione è suscettibile di presentare un rischio elevato, l’articolo 34 del GDPR impone di informare anche le persone coinvolte, senza ingiustificato ritardo e con un linguaggio semplice e chiaro. La comunicazione non è richiesta, ad esempio, se i dati erano protetti da misure come la cifratura che li rendono incomprensibili a chi non è autorizzato ad accedervi.
Il ruolo dei fornitori
Se la violazione avviene presso un fornitore che tratta dati per conto dell’impresa, questo deve informare il titolare senza ingiustificato ritardo. È utile che i contratti stipulati ai sensi dell’articolo 28 del GDPR disciplinino tempi e modalità di questa comunicazione.
Documentare sempre
Ogni violazione, anche quando non deve essere notificata, va documentata internamente indicando i fatti, le conseguenze e i provvedimenti adottati. Questa documentazione consente di dimostrare il rispetto del Regolamento.
Prepararsi prima che accada
- Adottare una procedura scritta di gestione delle violazioni, con ruoli e responsabilità definiti
- Predisporre modelli per la valutazione del rischio, la notifica e la comunicazione agli interessati
- Formare il personale a riconoscere e segnalare tempestivamente gli incidenti
- Verificare periodicamente la procedura con simulazioni
Contenuto informativo: non costituisce consulenza legale personalizzata.