Devo informare personalmente gli interessati in caso di violazione dei dati?

In caso di rischio elevato per gli interessati si applica l'obbligo

Sì, se una violazione dei dati comporta probabilmente un rischio elevato per i diritti e le libertà delle persone i cui dati sono interessati, allora si applica l'obbligo di informare questi interessati direttamente. Questo è indipendente dalla notifica all'autorità di controllo, che deve avvenire entro 72 ore già con una soglia inferiore — semplicemente "rischio". Nel comunicare l'interessato stesso il livello è quindi più alto: si tratta di situazioni in cui, senza intervento, potrebbero verificarsi gravi conseguenze negative, come furto d'identità, danno finanziario o danno reputazionale. L'interessato riceve quindi in linguaggio chiaro e semplice informazioni su ciò che è accaduto, quali sono le conseguenze prevedibili, quale punto di contatto è disponibile per ulteriori informazioni e quali misure sono state o saranno adottate per limitare il danno.

Esistono eccezioni in cui questo obbligo di informazione individuale viene meno. Questo accade quando appropriate misure di sicurezza — come la crittografia — hanno reso i dati incomprensibili per chi non aveva il diritto di accedervi, quando le misure adottate successivamente rendono probabile che il rischio elevato non si verifichi più, oppure quando l'informazione individuale richiederebbe uno sforzo sproporzionato. In quest'ultimo caso una comunicazione pubblica o una misura equivalentemente efficace può sostituire il contatto individuale di ogni interessato.

Il fondamento: articolo 34 GDPR, insieme all'articolo 33

Questo obbligo deriva dall'articolo 34 del GDPR, che disciplina l'obbligo di informazione individuale insieme all'articolo 33, che riguarda la notifica all'autorità di controllo — due obblighi separati ciascuno con la propria soglia. Cosa costituisce esattamente una violazione dei dati e come viene effettuata la valutazione del rischio è spiegato nella pagina dell'Autorità garante per la protezione dei dati personali sulle violazioni dei dati. L'obbligo derivante dall'articolo 34 è uguale in tutta l'UE, poiché il GDPR si applica direttamente; solo il percorso di notifica all'autorità di controllo varia per paese — nei Paesi Bassi all'Autorità garante per la protezione dei dati personali, in Germania all'autorità di controllo dello Stato federato dove è ubicata la sede.