Il GDPR stabilisce che una violazione dei dati che comporta un rischio per gli interessati deve essere segnalata all'Autorità per la protezione dei dati non appena se ne ha conoscenza. Il termine per farlo è breve: 72 ore. Se non segnalate, o segnalate troppo tardi, in quel caso non rispettate un obbligo previsto dal GDPR. Cosa significa concretamente dipende dalla situazione, ed è proprio per questo che come redazione non esprimiamo un parere: dipende da voi, dal vostro consulente legale o dall'autorità di controllo.
Ciò che può essere descritto è: il GDPR attribuisce all'Autorità per la protezione dei dati i poteri di indagare una violazione dei dati che non è stata segnalata o è stata segnalata troppo tardi, e di reagire di conseguenza. Quale reazione segua e se segua dipende dalle circostanze e non è prevedibile. Per voi come imprenditore la domanda quindi non è tanto "quale è la sanzione", ma "cosa devo organizzare affinché possa valutare in tempo se una segnalazione è necessaria".
Cosa richiede esattamente l'obbligo di segnalazione
Il GDPR distingue tra una segnalazione all'autorità di controllo e una segnalazione agli interessati stessi. La prima si applica in caso di violazione che comporta un rischio; la seconda, variante più grave, si applica in caso di rischio elevato. Entrambe le valutazioni devono avvenire rapidamente, e il termine di 72 ore per l'autorità di controllo inizia dal momento in cui scoprite la violazione, non da quando si è verificata. Chi ancora non ha chiarito bene questa distinzione, può seguire pochi step: in cinque domande vedete dove vi trovate fornisce direttamente un'indicazione se una segnalazione è necessaria.
Il nucleo del problema con una segnalazione tardiva di solito non è la mancanza di volontà, ma il tempo perso a causa di incertezze: chi deve occuparsene, è davvero una violazione dei dati nel senso del GDPR, e abbiamo effettivamente una panoramica dei sistemi che contengono dati personali. Quest'ultimo è precisamente il punto in cui un registro delle attività di trattamento dimostra il suo valore: senza una panoramica dei vostri trattamenti, chiarire l'entità di una violazione costa inutilmente del tempo dei 72 ore di cui disponete.
Anche il non segnalare deve poter essere giustificato
Un punto meno noto è che il GDPR richiede anche di documentare quando decidete di non segnalare una violazione e il motivo. L'obbligo di rendicontazione si applica infatti alla valutazione stessa, non solo alla segnalazione se questa avviene. Una violazione che valutate come "nessun rischio per gli interessati" e della quale non documentate da nessuna parte questa valutazione, è difficile da sostenere in seguito se richiesto. Le linee guida dell'EDPB affrontano questo argomento approfonditamente; il riferimento e la relativa spiegazione si trovano in banca dati per argomento.
Conseguenze che vanno oltre l'autorità di controllo
Al di là del rapporto con l'Autorità per la protezione dei dati, ci sono altri due ambiti dove una segnalazione mancata può avere effetti. Il primo è il contratto di trattamento dei dati: se elaborate dati personali per un cliente, spesso contiene un termine di segnalazione proprio, talvolta più breve delle 72 ore previste dalla legge, e tale termine si applica allora insieme al GDPR. Il secondo è l'interessato stesso: qualcuno i cui dati sono stati violati e che lo scopre da solo senza che voi abbiate segnalato, non può più riprendere quella fiducia, il che è indipendente da qualsiasi valutazione legale.
Anche un assicuratore o una controparte che in seguito chieda come è stata gestita una violazione, esamina se la valutazione è stata tempestiva e, se necessario, se è stata effettuata una segnalazione. È diverso da una multa, ma riguarda comunque ciò che spesso è il motivo per cui la protezione dei dati viene messa in ordine: dimostrare che c'è un processo, non solo che non è mai successo nulla di sbagliato.
Perché il termine è spesso il collo di bottiglia
In pratica, raramente manca la volontà di comunicare il difetto, ma la velocità con cui un'organizzazione può stabilire cosa è accaduto, quali dati sono interessati e chi è coinvolto. Un sistema che avvia il contatore di 72 ore non appena viene registrata una possibile violazione impedisce che il tempo si disperda in discussioni interne. Come è strutturato un tale sistema e su quali informazioni si basa è descritto nella pagina relativa a da dove proviene l'informazione.
Se un evento specifico presso di voi è soggetto all'obbligo di comunicazione, quale termine esatto si applica al vostro caso e quali sono le conseguenze se una comunicazione è stata omessa, non può essere risposto in termini generali. Per questa valutazione, un giurista o l'Autorità per la protezione dei dati stessa è il punto di contatto appropriato.
Volete prima farvi un'idea della vostra situazione, senza obblighi? La scansione rapida gratuita e la banca dati delle conoscenze forniscono una prima indicazione per argomento, inclusa la fonte nel testo ufficiale.