il mio fornitore segnala una violazione di dati devo segnalarlo anch'io

Una violazione dei dati presso il tuo fornitore può interessare anche il tuo obbligo di notifica

Sì, può accadere, anche se il fornitore ha già notificato la violazione da solo. Un fornitore che elabora dati dei clienti per te — un software di contabilità, uno strumento di email marketing, un fornitore di hosting — è nel linguaggio del RGPD solitamente un responsabile del trattamento, e tu rimani il titolare del trattamento. L'obbligo di notificare all'autorità di controllo e agli interessati ricade sul titolare del trattamento, non sul responsabile del trattamento. Il fornitore che lo notifica alla propria autorità di controllo non soddisfa quindi automaticamente il tuo obbligo.

Quello che il fornitore deve fare secondo il contratto di incarico è notificarti la violazione senza indebito ritardo non appena ne viene a conoscenza. Da quel momento inizia per te la valutazione se si tratta di una violazione come definita in cos'è esattamente una violazione dei dati?, e se è soggetta a notifica presso l'Autorità Garante per la Protezione dei Dati Personali e eventualmente agli interessati. Il fatto che un fornitore abbia notificato l'incidente alla propria autorità di controllo — a volte in un altro paese — non cambia nulla nella valutazione che tu come titolare del trattamento devi fare.

Dove ciò deriva dagli articoli 28 e 33 del RGPD

L'articolo 28 del RGPD disciplina la relazione tra il titolare del trattamento e il responsabile del trattamento, e il relativo contratto di incarico stabilisce che il responsabile del trattamento deve notificare una violazione al titolare del trattamento; l'articolo 33 del RGPD impone l'obbligo di notifica all'autorità di controllo al titolare del trattamento, con i termini e i criteri che l'Autorità Garante per la Protezione dei Dati Personali e l'EDPB specificano ulteriormente nelle loro linee guida. Questa ripartizione vale ugualmente in ogni Stato membro, solo cambia quale autorità di controllo riceve la notifica: nei Paesi Bassi è l'Autorità Garante per la Protezione dei Dati Personali, negli altri Stati membri l'autorità di controllo di quel paese — rilevante se il fornitore ha sede lì o se i dati dei clienti degli interessati provengono da più paesi. Quali accordi specifici devi stipulare con il fornitore al riguardo e se quel contratto è conforme è descritto in devo firmare un contratto di incarico che il mio cliente mi invia?.