Il punto essenziale: l'obbligo di notifica non cambia
L'obbligo di notificare una violazione di dati si trova nella GDPR stessa, con il termine noto di 72 ore dal rilevamento verso l'autorità di protezione dei dati, e una valutazione separata se informare anche gli interessati stessi. Questo testo è parte di un regolamento europeo e non cambia ogni anno. Per quanto si sa, quest'anno non ci sono modifiche della norma stessa che riguardino l'obbligo di notifica o il termine. Quello che cambia è l'interpretazione che vi ruota attorno: il modo in cui l'EDPB e l'autorità di protezione dei dati riempiono di significato i concetti aperti della legge, e il modo in cui altre normative si affiancano alla GDPR. Per un'impresa di medie o piccole dimensioni ciò è spesso più rilevante del testo della legge stessa, perché proprio questa interpretazione determina quando un incidente è considerato soggetto a obbligo di notifica.
Non si tratta quindi di una nuova data o di un nuovo numero di articolo da ricordare, ma di tre cambiamenti che toccano la pratica: linee guida più rigorose su cosa conti come violazione di dati, maggiore coincidenza con la normativa di settore come NIS2, e una diversa realtà perché gli incidenti si verificano sempre più spesso presso un fornitore SaaS piuttosto che presso l'azienda stessa.
Linee guida che spostano il confine
La GDPR stessa descrive una violazione di dati in termini generali: una violazione della sicurezza che comporta la distruzione, la perdita, la modifica o la divulgazione non autorizzata di dati personali. Cosa vi rientri concretamente viene precisato anno dopo anno dalle linee guida dell'EDPB e dall'interpretazione dell'autorità di protezione dei dati. Negli ultimi anni è emersa maggiore chiarezza su casi limite: un'e-mail inviata al destinatario sbagliato con un allegato, un dipendente che accede a un account errato, o un backup temporaneamente non disponibile. Situazioni di questo tipo venivano in passato più spesso considerate questioni interne; l'orientamento nelle linee guida è che anche senza cattiva intenzione di un dipendente può esserci un incidente soggetto a obbligo di notifica. Per un direttore o un responsabile amministrativo questo significa che la valutazione può avvenire meno spesso per intuito e più sulla base di una procedura fissa. Chi ha dubbi se un fatto concreto rientri nell'obbligo di notifica può vederlo chiarito in poche domande attraverso l'albero decisionale di gdpria.eu, in poche domande vedere se qualcosa è una violazione di dati soggetta a obbligo di notifica.
Coincidenza con altre normative
Un secondo cambiamento non si trova nella GDPR stessa, ma in una normativa che vi si affianca. Per organizzazioni che fanno parte di, o forniscono a, settori rientranti in normative come NIS2, un incidente di sicurezza può contemporaneamente ricadere sotto due regimi di notifica: la GDPR per i dati personali, e un obbligo di notifica di settore per il servizio stesso. Ciò non riguarda ogni impresa di medie o piccole dimensioni, ma riguarda le imprese di installazione, i fornitori di servizi IT e altre parti che funzionano come fornitori per un'organizzazione più grande e regolamentata. Per questo gruppo è consigliabile verificare se un cliente o un committente ha nel frattempo incluso nel contratto ulteriori accordi di notifica, oltre a quelli già nel contratto di responsabile della protezione dei dati. Chi vuole verificare cosa dice esattamente un tale accordo su termini di notifica e responsabilità, trova informazioni di base in la knowledge base con spiegazioni per argomento.
La pratica si sposta verso il fornitore SaaS
Il terzo cambiamento è meno una questione di normativa e più uno sviluppo di fatto: una quota crescente degli incidenti che le aziende olandesi affrontano non nasce da loro, ma da un fornitore di software che utilizzano per contabilità, gestione del personale o gestione clienti. La responsabilità di valutare se ciò comporta una violazione segnalabile dei dati rimane però presso l'azienda che fa elaborare i dati, non automaticamente presso il fornitore. Un fornitore che segnala autonomamente un incidente non esonera il committente dal proprio obbligo di valutazione. Questo rende ancora più importante stabilire in anticipo come e quando un fornitore segnala un incidente, e ritrovare tale accordo nel proprio inventario degli strumenti utilizzati. Le aziende che non hanno ancora un inventario completo possono costruirlo con l'aiuto di una spiegazione di come il sistema viene compilato sulla base di strumenti noti.
Cosa significa per voi
Per la maggior parte delle aziende del settore medio-piccolo, quest'anno non cambia nulla per il termine legale stesso. Quello che è comunque saggio è: controllare periodicamente il proprio approccio agli incidenti rispetto alle linee guida più recenti, verificare se un committente pone ulteriori accordi di segnalazione, e chiarire con i fornitori chi valuta un incidente per primo. Nessuno di questi punti richiede uno studio legale, ma piuttosto un momento fisso per considerarli.
Volete vedere rapidamente dove si trova la vostra azienda su questo punto? Le domande della scansione rapida gratuita di gdpria.eu danno una prima indicazione, e in le domande frequenti su violazioni dei dati e obbligo di segnalazione trovate le risposte più brevi a domande correlate.