chi è responsabile della segnalazione di una violazione di dati all'interno della mia azienda

La responsabilità ricade sull'organizzazione, non su un singolo dipendente

Il GDPR attribuisce l'obbligo di notifica all'organizzazione che è titolare del trattamento, non a un singolo dipendente che ha scoperto o causato la violazione. Il GDPR non regola chi all'interno dell'azienda esegua effettivamente la notifica — è una questione interna. In pratica, di solito è il proprietario, un direttore, o una persona specificatamente designata a occuparsi di questioni relative alla privacy, come un responsabile della protezione dei dati se nominato. Per una persona fisica che lavora in proprio o una piccola azienda senza una funzione separata, questa responsabilità spesso ricade naturalmente su chi gestisce l'impresa.

Ciò che è certo, tuttavia, è che deve esserci qualcuno a conoscenza del fatto che potrebbe verificarsi una notifica non appena si verifica una violazione, e che possa valutare se cosa si intende esattamente per violazione di dati si applica in questo caso. Un'azienda che non ha stabilito chi se ne occupi rischia che una violazione venga segnalata ma che nessuno intraprenda il passo successivo — mentre il termine decorre dal momento della scoperta. Anche se il trattamento è affidato a terzi, ciò non cambia chi rimane responsabile della notifica: è e rimane l'organizzazione stessa, anche quando un fornitore notifica personalmente una violazione di dati.

Da dove risulta: articolo 33 del GDPR

L'articolo 33 del GDPR parla sempre del "titolare del trattamento" come della parte che deve notificare all'autorità di controllo, senza prescrivere una funzione o persona interna specifica; spetta all'organizzazione stessa decidere chi lo faccia effettivamente. L'Autorità olandese per la protezione dei dati conferma nella sua pagina sulle violazioni di dati che l'obbligo di notifica ricade sull'organizzazione e non su un dipendente specifico. L'autorità di controllo cui notificare varia invece per Stato membro: nei Paesi Bassi è l'Autorità olandese per la protezione dei dati, mentre altrove nell'UE l'autorità nazionale competente è l'organismo designato. Ulteriori informazioni sui passaggi da seguire e il ruolo dell'autorità di controllo si trovano in quando una violazione di dati deve essere notificata all'Autorità olandese per la protezione dei dati.