Un computer rubato, un’email inviata al destinatario sbagliato, un attacco ransomware: sono tutti casi di “data breach”, cioè di violazione dei dati personali. Il GDPR impone al titolare del trattamento di reagire in fretta: se c’è un rischio per le persone, la violazione va notificata al Garante entro 72 ore da quando se ne è venuti a conoscenza.
Che cos’è una violazione dei dati
È qualsiasi episodio che comporta, anche per errore, la distruzione, la perdita, la modifica, la divulgazione o l’accesso non autorizzato a dati personali. Non serve un attacco informatico: basta un fascicolo smarrito o un file condiviso con le persone sbagliate.
Cosa fare, passo per passo
- Contenere la violazione: bloccare gli accessi, cambiare le password, isolare i sistemi colpiti, chiedere la restituzione o la cancellazione dei dati inviati per errore.
- Valutare il rischio per le persone coinvolte: quali dati, quante persone, quali conseguenze possibili.
- Notificare il Garante entro 72 ore (art. 33 GDPR), tramite la procedura online, se la violazione presenta un rischio per i diritti e le libertà delle persone. Se non tutte le informazioni sono disponibili, si possono fornire in un secondo momento.
- Avvisare gli interessati senza ingiustificato ritardo (art. 34 GDPR) se il rischio è elevato, spiegando cosa è successo e cosa possono fare per proteggersi.
- Documentare ogni violazione nel registro interno, anche quando non va notificata (art. 33, par. 5).
Le sanzioni
La mancata notifica o la mancata comunicazione agli interessati possono comportare sanzioni amministrative fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo (art. 83 GDPR), oltre alle responsabilità per i danni causati.
Prevenire è più semplice
Una procedura scritta per la gestione dei data breach, la formazione del personale e un DPO a cui rivolgersi subito riducono i tempi di reazione e il rischio di errori proprio nelle ore decisive.
Domande frequenti
Le 72 ore decorrono dall’incidente?
No: decorrono da quando il titolare ha ragionevole certezza che si è verificata una violazione di dati personali.
Devo notificare anche una violazione di lieve entità?
Solo se è probabile un rischio per le persone; in ogni caso va annotata nel registro interno.
Hai subito una violazione dei dati? Chiamaci o scrivici su WhatsApp: ti diciamo subito come muoverti. Scopri di più sulla pagina privacy e DPO ad Arezzo.
Articoli correlati
Diritto penaleDecreto penale di condanna: cosa fare nei 15 giorniLeggi l’articolo →
Diritto dell’immigrazionePermesso di soggiorno in ritardo: come obbligare la Questura a decidereLeggi l’articolo →
Diritto scolasticoSupplenti con contratto al 30 giugno: quando spettano gli stipendi di luglio e agostoLeggi l’articolo →
Avvocato del Foro di Arezzo · diritto penale, diritto scolastico e privacy
Le informazioni contenute in questo articolo hanno carattere generale e non sostituiscono una consulenza sul caso concreto.