Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il titolare non può limitarsi a inoltrare la comunicazione ricevuta dal fornitore. Deve comprendere i dati coinvolti, ricostruire la propria conoscenza dell’evento e decidere gli adempimenti che gli competono, registrando anche le informazioni mancanti.
La situazione.
Scenario illustrativo fittizio. Un’impresa usa un portale esterno per le richieste di assistenza. Il gestore avvisa cinque giorni dopo aver scoperto un accesso abusivo. La prima nota parla genericamente di «dati tecnici»; l’impresa sa però che nei ticket si trovano nomi, recapiti e allegati inviati dai clienti.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Va verificato il ruolo del fornitore, compresi eventuali trattamenti svolti per proprie finalità autonome.
- 02
La conoscenza del fornitore e quella del titolare devono essere ricostruite con cronologie distinte.
- 03
La descrizione dei dati deve riflettere il contenuto reale dei ticket, non una classificazione commerciale del servizio.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Quando opera come responsabile, il fornitore deve informare il titolare senza ingiustificato ritardo ai sensi dell’articolo 33, paragrafo 2, GDPR. Il titolare conserva la responsabilità delle proprie valutazioni e non può considerare sufficiente la formula «nessun impatto confermato». Deve chiedere gli elementi utili, valutando parallelamente ciò che già conosce sui trattamenti affidati al servizio.
Il termine per l’eventuale notifica all’autorità si collega alla conoscenza della violazione da parte del titolare, da accertare sul caso concreto. Non va artificialmente spostato alla consegna della relazione definitiva. Se la notifica è dovuta e alcune informazioni mancano, il GDPR prevede la possibilità di integrarle per fasi; eventuali ritardi richiedono le relative motivazioni. Un contratto ben scritto facilita la risposta, ma non la sostituisce.
Cosa fare, in pratica.
- 01
Aprire subito la gestione dell’incidente e registrare ricezione degli avvisi, contatti precedenti e informazioni che possono aver già reso riconoscibile la violazione.
- 02
Chiedere al fornitore cronologia, categorie di dati, numero e tipologia degli interessati, misure adottate e limiti delle indagini, usando un canale con responsabili identificati.
- 03
Incrociare la relazione tecnica con i contenuti effettivamente presenti nel portale, verificando in particolare allegati e campi liberi dei ticket.
- 04
Valutare e decidere notifica e possibile comunicazione agli interessati, documentando ragioni e aggiornamenti senza aspettare una certezza assoluta sull’intero attacco.
- 05
Rivedere obblighi contrattuali, contatti di emergenza e prove periodiche: stabilire chi raccoglie le informazioni e con quali tempi evita ritardi organizzativi aggiuntivi.
L’errore da evitare.
Scaricare ogni responsabilità sul contratto del fornitore o aspettare che sia lui a decidere se avvisare autorità e clienti dell’impresa.
Tre verifiche da portare con te.
- Ruoli e cronologie distinti.
- Dati reali del servizio confrontati con l’avviso.
- Decisioni adottate senza attendere il rapporto finale.
La gestione di un fornitore richiede informazioni utilizzabili, non soltanto clausole. Il ritardo altrui non elimina i compiti del titolare.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.