Posso gestire autonomamente una violazione dei dati?
Sì, gran parte della valutazione e della gestione di una violazione dei dati può essere svolta autonomamente. Il GDPR non prescrive che debba essere coinvolto un legale o un ufficio esterno. Ciò che il regolamento richiede è che riconosciate la violazione, valutiate se comporta rischi per le persone i cui dati sono stati compromessi, e — se è così — la segnaliate tempestivamente all'Autorità Nazionale per la Protezione dei Dati e eventualmente agli interessati stessi.
La possibilità di procedere autonomamente dipende principalmente dall'entità e dalla complessità dell'incidente. Un'e-mail inviata per errore con i dati di un solo cliente è diverso da un server violato con migliaia di fascicoli di clienti. Il confine tra gestione autonoma e affidamento a terzi non è stabilito dalla legge, ma dalle vostre capacità di valutare rapidamente e accuratamente ciò che è accaduto.
Ciò che potete valutare autonomamente
La prima domanda in ogni incidente è se si tratti effettivamente di una violazione di dati nel senso del GDPR: i dati personali sono stati persi, consultati da soggetti non autorizzati, o modificati o cancellati per errore? Potete svolgere questa valutazione in autonomia utilizzando una checklist chiara. in poche domande vedete dove siete fornisce una prima indicazione senza che abbiate immediatamente bisogno di un consulente.
Se esiste effettivamente una violazione, segue la valutazione del rischio: comporta pericoli per i diritti e le libertà degli interessati, ad esempio perché dati sensibili sono esposti pubblicamente o è possibile una frode di identità? Anche questa valutazione può essere svolta autonomamente per molte situazioni comuni sulla base delle linee guida dell'EDPB e delle spiegazioni fornite dall'Autorità Nazionale per la Protezione dei Dati. La banca dati con spiegazioni per argomento descrive i criteri rilevanti in questo contesto, con il riferimento al testo ufficiale.
La segnalazione effettiva all'Autorità Nazionale per la Protezione dei Dati è nella pratica spesso gestibile autonomamente da molte aziende. L'autorità di controllo dispone di un proprio modulo di segnalazione, e le informazioni richieste — cosa è accaduto, quali dati sono coinvolti, quante persone sono state colpite e quali misure sono state adottate — sono informazioni che la vostra organizzazione conosce meglio di chiunque altro.
Quando è consigliabile cercare assistenza aggiuntiva
In diverse situazioni la gestione autonoma diventa più difficile. Se riguarda un gran numero di interessati, dati personali particolari come dati sanitari, o un incidente tecnico di cui l'entità rimane ancora incerta, è consigliabile non fare affidamento solo su una valutazione autonoma. Lo stesso vale quando la violazione potrebbe avere conseguenze in un altro Stato membro, o quando non è chiaro quale autorità di controllo è competente.
Anche l'informazione degli interessati stessi — anziché solo dell'autorità di controllo — richiede attenzione. Il tono, il contenuto e il momento della comunicazione determinano in parte come le persone reagiscono, e un messaggio formulato erroneamente può causare più turbamento dell'incidente stesso. In questi casi è consigliabile consultare un legale o contattare l'Autorità Nazionale per la Protezione dei Dati per conoscere la procedura corretta.
Cosa il GDPR prescrive e cosa no
Il regolamento prescrive un termine entro il quale una violazione soggetta a obbligo di segnalazione deve essere comunicata all'autorità di controllo, e obbliga le organizzazioni a documentare quali violazioni di dati si sono verificate, incluse le violazioni che non devono essere segnalate. Ciò che il GDPR non prescrive è chi all'interno della vostra organizzazione esegue questo processo. Ciò significa che la gestione autonoma è consentita, purché il risultato sia conforme a quanto richiesto dalla legge.
La responsabilità rimane presso l'organizzazione, anche se una parte del lavoro viene affidata a un consulente o agenzia. Non si tratta quindi di delegare tutto e non pensarci più, ma di sapere quali passaggi sono stati compiuti e perché.
La documentazione è sempre necessaria
Che lo facciate voi stessi o vi facciate assistere, la documentazione è in entrambi i casi necessaria: cosa è successo, quando l'avete scoperto, quale valutazione avete fatto del rischio e quali misure sono state adottate per prevenire il ripetersi. Questa documentazione non è solo utile per l'autorità di controllo, ma anche per voi, nel caso in cui un incidente simile si ripeta in seguito.
Come quella fondazione dovrebbe apparire e quali fonti vengono utilizzate può essere letto su la pagina da cui proviene l'informazione. Se dubbitate che la vostra situazione sia soggetta all'obbligo di notifica, prima fate il controllo gratuito e leggete gli argomenti pertinenti nella banca dati delle conoscenze prima di prendere una decisione. Se desiderate mettere in ordine il processo di rilevamento fino alla gestione in modo strutturale, potete registrarvi per un account aziendale per fare in modo che i termini e la documentazione procedano automaticamente.