Violazione dati, notifica al Garante Privacy in che tempi

Il GDPR (art. 33) impone di notificare una violazione di dati personali all'Autorità di controllo — in Italia il Garante per la Protezione dei Dati Personali — senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare del trattamento ne ha avuto conoscenza, salvo che la violazione non presenti un rischio per i diritti e le libertà delle persone interessate.

Cosa si intende esattamente per "violazione di dati personali"

Non solo un attacco informatico riuscito: la definizione del GDPR comprende qualunque violazione di sicurezza che comporti, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trattati. Rientrano quindi anche episodi come lo smarrimento di un dispositivo con dati non cifrati, un invio di email con dati sensibili al destinatario sbagliato, o un accesso non autorizzato scoperto senza che ci sia stato necessariamente un attacco esterno.

Da quando decorrono le 72 ore

Il termine decorre dal momento in cui il titolare del trattamento ha avuto conoscenza della violazione, non dal momento in cui la violazione è effettivamente avvenuta: un attacco può essere iniziato giorni prima di essere scoperto, ma il termine per la notifica parte dalla scoperta, non dall'inizio dell'attacco. Se non è possibile fornire tutte le informazioni richieste entro il termine, la notifica può essere fornita in fasi successive, senza ulteriore ingiustificato ritardo.

Cosa deve contenere la notifica

• La natura della violazione, incluse le categorie e il numero approssimativo di interessati e di record coinvolti.
• Il nome e i contatti del responsabile della protezione dei dati (DPO), se nominato, o di un altro punto di contatto.
• Le probabili conseguenze della violazione.
• Le misure adottate o proposte per porvi rimedio, incluse eventuali misure per attenuare i possibili effetti negativi.

Quando serve anche informare direttamente le persone coinvolte

L'art. 34 del GDPR impone, in aggiunta alla notifica al Garante, di comunicare la violazione direttamente agli interessati quando questa presenta un rischio elevato per i loro diritti e libertà: per esempio quando sono coinvolti dati sensibili, credenziali di accesso, o informazioni che potrebbero esporre le persone a furto d'identità o discriminazione. Non è un adempimento automatico per ogni violazione, ma una valutazione specifica sul livello di rischio concreto per le persone coinvolte.

Cosa succede se non si notifica nei tempi previsti

Il mancato rispetto dell'obbligo di notifica, o una notifica tardiva senza un motivo giustificato, è sanzionabile autonomamente dal Garante, indipendentemente dalle conseguenze dirette della violazione stessa: è uno dei motivi per cui, in caso di incidente cyber, la valutazione degli obblighi di notifica va fatta il prima possibile, in parallelo alla gestione tecnica dell'emergenza descritta in Attacco ransomware: cosa fare nelle prime ore.

Un'azienda molto piccola è esente dall'obbligo di notifica?

No: l'obbligo di notifica al Garante non prevede un'esenzione basata sulla dimensione dell'impresa. Si applica a qualunque titolare del trattamento che subisca una violazione di dati personali con le caratteristiche previste dalla norma, indipendentemente dal numero di dipendenti o dal fatturato.

Se la violazione non comporta rischio per le persone, va comunque notificata?

Se il titolare valuta, con una motivazione documentabile, che la violazione non presenta un rischio per i diritti e le libertà delle persone interessate, la notifica al Garante può non essere necessaria: è una valutazione da fare con attenzione e, nei casi dubbi, con il supporto di un consulente privacy, perché l'onere di dimostrare l'assenza di rischio resta a carico del titolare.