Di cosa si tratta.
Le linee guida EDPB 9/2022 spiegano come affrontare la notifica delle violazioni di dati personali secondo il GDPR. La versione 2.0 è stata adottata il 28 marzo 2023: è un documento definitivo di orientamento, non una proposta in consultazione. Il punto centrale è distinguere l’incidente tecnico dalle sue conseguenze sulle persone. Una violazione può riguardare riservatezza, integrità o disponibilità e non presuppone necessariamente un attacco informatico. La gestione deve permettere di ricostruire fatti, tempi e rischi, prendendo decisioni tempestive. Notifica all’Autorità, comunicazione agli interessati e documentazione interna sono passaggi diversi: non si attivano tutti automaticamente per ogni episodio e non possono essere confusi tra loro.
A chi può interessare.
Le linee guida riguardano gli obblighi GDPR pertinenti alle violazioni di dati personali e chiariscono il ruolo di titolari e responsabili. Il responsabile deve informare il titolare senza ingiustificato ritardo; il titolare valuta gli obblighi verso Autorità e persone. Per la notifica all’Autorità rileva il rischio, mentre la comunicazione agli interessati si collega al rischio elevato nei casi previsti. Anche quando non si procede a una notifica, resta necessaria la documentazione della violazione. Gli obblighi di altre discipline di sicurezza possono aggiungersi e richiedono una verifica autonoma.
I punti da capire.
- 01
Il termine GDPR per notificare è, ove possibile, entro 72 ore dalla conoscenza della violazione, quando la notifica è dovuta. Non decorre automaticamente dalla data di qualunque malfunzionamento.
- 02
La valutazione considera dati, persone, possibili conseguenze e misure efficaci. Avere un backup può aiutare la disponibilità, ma non dimostra che le informazioni non siano state copiate.
- 03
Informazioni incomplete non giustificano un’attesa indefinita: il GDPR consente, alle condizioni previste, di integrare progressivamente una notifica, spiegando le ragioni di eventuali ritardi.
- 01Individua l’ambito
- 02Leggi le regole pertinenti
- 03Verifica sul tuo contesto
Il percorso orienta la lettura: non costituisce una verifica automatica di conformità.
Cosa verificare in pratica.
- Predisporre una scheda di incidente con momento della scoperta, dati coinvolti, misure immediate e persone che partecipano alla valutazione, mantenendo traccia delle nuove evidenze.
- Separare contenimento tecnico e decisioni privacy, facendoli procedere insieme; chiedere ai fornitori informazioni operative senza aspettare una relazione conclusiva perfetta.
- Motivare la scelta di notificare o non notificare e verificare se cambiano le conclusioni quando emergono altri dati, destinatari o conseguenze.
UN ESEMPIO PER ORIENTARSI
Dal principio alla situazione concreta.
Scenario ipotetico: un file con dati dei clienti viene inviato a un destinatario errato, che dichiara di averlo cancellato. L’azienda conserva le evidenze, verifica contenuto e destinatario, tenta il contenimento e valuta le conseguenze realistiche. Non considera la dichiarazione di cancellazione una garanzia assoluta, ma nemmeno presume automaticamente il rischio più grave. Registra il ragionamento e decide gli eventuali passaggi verso Autorità e persone. Se emerge che il messaggio è stato inoltrato, riapre la valutazione alla luce dei nuovi fatti invece di considerare chiusa la pratica.
Scenario ipotetico a scopo divulgativo.Ambito, limiti e aggiornamenti.
Le linee guida interpretano gli articoli del GDPR e non sostituiscono il testo normativo o le istruzioni dell’Autorità competente. Questa scheda non qualifica un incidente specifico né promette che una misura tecnica escluda ogni obbligo. Sicurezza informatica, continuità operativa e tutela dei diritti devono essere valutate insieme, mantenendo distinte le eventuali notifiche previste da altre normative o dai contratti.
La versione collegata è stata adottata il 28 marzo 2023. Distinguere la documentazione dell'incidente dalla notifica all'Autorità e dalla comunicazione agli interessati.
Le fonti ufficiali.
La scheda spiega il riferimento in termini divulgativi. Per applicarlo consulta il testo vigente, gli allegati, gli aggiornamenti e le disposizioni pertinenti.