Quando devo notificare una violazione dei dati all'Autorità per la protezione dei dati?

La segnalazione è la regola principale, a meno che un rischio sia improbabile

Una violazione dei dati deve essere segnalata all'autorità di controllo non appena è probabile che la violazione comporti un rischio per i diritti e le libertà delle persone i cui dati sono stati compromessi. Questo è il nucleo dell'articolo 33 GDPR: la segnalazione è il presupposto, e solo quando è ragionevole ritenere che non vi sia alcun rischio, tale segnalazione può essere omessa. In pratica, ciò significa che la maggior parte delle violazioni di dati personali — un'e-mail inoltrata per errore con dati dei clienti, un computer portatile rubato, un database hackerato — rientra nell'obbligo di segnalazione, mentre una violazione che evidentemente non può colpire nessuno (ad esempio perché i dati erano crittografati e la chiave non è stata compromessa) può restarne al di fuori.

Per questa valutazione, esaminate ciò che è accaduto esattamente, quali dati sono coinvolti e chi potrebbe essere colpito. I dati particolari, i dati finanziari o i dati dei minori hanno un peso maggiore rispetto a un semplice indirizzo e-mail. Il termine di 72 ore di cui all'articolo 33 GDPR decorre dal momento in cui siete consapevoli della violazione, non dal momento in cui la violazione è avvenuta — talvolta questi due momenti distano settimane l'uno dall'altro. Un albero decisionale che affronta questa valutazione passo dopo passo non sostituisce mai il vostro giudizio sulla violazione concreta, ma aiuta a percorrere in modo strutturato la questione "soggetto a obbligo di segnalazione o meno".

Da dove deriva dall'articolo 33 GDPR e dalle linee guida dell'EDPB

L'obbligo di segnalazione stesso è previsto dall'articolo 33 GDPR; l'interpretazione di concetti come "rischio" e "senza ritardo indebito" deriva dalle linee guida dell'EDPB sulle notifiche di violazione dei dati, e l'Autorità per la protezione dei dati personali fornisce chiarimenti per la pratica nei Paesi Bassi. Il GDPR si applica direttamente in ogni Stato membro, ma l'autorità presso cui presentare la segnalazione varia: nei Paesi Bassi è lo sportello di segnalazione dell'Autorità per la protezione dei dati personali, l'unica autorità di controllo per l'intero paese. In Germania, effettuate la segnalazione presso l'autorità di controllo dello Stato federato in cui ha sede l'organizzazione, poiché lì esistono sedici autorità di controllo regionali accanto a un'autorità federale.