quali sono le conseguenze se non segnalo una violazione di dati all'Autorità

La mancata segnalazione può avere conseguenze che vanno oltre la violazione stessa

Chi non segnala una violazione dei dati soggetta all'obbligo di notifica all'autorità di vigilanza rischia che tale autorità lo scopra di propria iniziativa e agisca sulla base dell'articolo 33 del GDPR, che disciplina l'obbligo di notifica entro i termini ivi previsti. L'Autorità Garante della protezione dei dati personali e le altre autorità di vigilanza europee hanno il potere di svolgere indagini, formulare domande e, in caso di violazione accertata, irrogare sanzioni. L'omissione di segnalazione di una violazione emerge spesso proprio perché l'interessato stesso presenta un reclamo, perché i dati ricompaiono altrove, o perché un responsabile del trattamento o un fornitore segnala la violazione e l'autorità di vigilanza procede di conseguenza — vedi anche cosa fare se un fornitore segnala una violazione dei dati.

Oltre al rischio presso l'autorità di vigilanza, vi è un altro aspetto: la mancata segnalazione di una violazione è indipendente dalla questione se le persone i cui dati sono coinvolti debbano essere informate. Tale obbligo deriva dall'articolo 34 del GDPR e può sussistere anche se la notifica all'autorità di vigilanza è stata omessa — con tutti i danni reputazionali e la perdita di fiducia che possono seguire se questo emerge successivamente. Anche una violazione che non è soggetta all'obbligo di notifica deve essere registrata nella propria documentazione; vedi perché anche le violazioni dei dati non segnalate devono essere documentate.

Cosa prevedono le norme in proposito

L'obbligo di notifica è disciplinato dall'articolo 33 del GDPR e si applica direttamente in ogni Stato membro dell'UE. La sede presso cui presentare la notifica varia da Paese a Paese: nei Paesi Bassi è l'Autorità Garante della protezione dei dati personali, negli altri Stati membri l'autorità nazionale di vigilanza di quello Stato — l'EDPB mantiene un elenco di queste autorità e pubblica orientamenti sull'interpretazione dell'obbligo di notifica. La disciplina dettagliata di quando qualcosa deve o non deve essere notificato è descritta nella pagina su valutare se una violazione dei dati deve essere segnalata.