In caso di violazione dei dati, fondamentalmente servono tre tipi di documenti: una registrazione interna di quanto accaduto, una valutazione del fatto che la notifica all'Autorità per la protezione dei dati sia obbligatoria, e — se lo è — la notifica stessa con la relativa documentazione. Se la comunicazione agli interessati è inclusa, anche questa comunicazione conta come documento da conservare.
Il dettaglio che viene più spesso trascurato in questo argomento è la registrazione interna. Anche se, dopo la valutazione, decidete che una violazione dei dati non deve essere notificata all'Autorità per la protezione dei dati, il regolamento continua a richiedere la registrazione dell'incidente stesso: cosa è accaduto, quali dati erano interessati, quali erano le possibili conseguenze e come siete giunti alle vostre conclusioni. Molti imprenditori pensano che non sia necessario mettere nulla per iscritto finché non viene inoltrata una notifica. Non è quello che il regolamento descrive.
La registrazione interna dell'incidente
Questo è il documento che dovrebbe esistere in ogni caso di violazione dei dati, indipendentemente dall'esito della vostra valutazione. Descrive quando avete scoperto l'incidente, cosa è esattamente accaduto, quali categorie di dati e quali interessati sono stati colpiti, e quali misure avete adottato per limitare le conseguenze. Durante i controlli, le autorità di controllo non guardano solo alle notifiche effettuate, ma anche al fatto che un'organizzazione possa dimostrare come gli incidenti precedenti sono stati valutati. Senza questo documento, tale documentazione non esiste.
La valutazione del fatto che la notifica sia necessaria
Oltre alla registrazione dei fatti, è necessario un secondo documento: la valutazione stessa. Quali rischi avete individuato per gli interessati e sulla base di quali elementi avete concluso che la notifica era o non era necessaria? Il regolamento distingue in tal senso il rischio per i diritti e le libertà degli interessati come criterio di valutazione. Registrare tale valutazione non è solo utile per voi in seguito, è anche il documento con cui potete dimostrare che è stata presa una scelta consapevole e non casuale. Chi ha dubbi sul fatto che uno specifico incidente sia soggetto all'obbligo di notifica, trova in l'albero decisionale che fornisce un primo suggerimento in poche domande un punto di partenza, senza che questo sostituisca la vostra propria valutazione.
La notifica all'Autorità per la protezione dei dati
Se la conclusione è che la notifica è necessaria, la notifica stessa si aggiunge come documento: cosa avete notificato, quando e con quali informazioni. Il regolamento prevede un termine di 72 ore dal momento in cui siete venuti a conoscenza della violazione dei dati. Conservate non solo la conferma della notifica, ma anche la versione dei fatti come erano noti al momento della notifica — questa può essere integrata in seguito se emergono ulteriori dettagli sulla portata.
La comunicazione agli interessati
In alcuni casi, è necessario anche un messaggio agli interessati stessi, ad esempio quando il rischio per loro è considerato sostanziale. Anche tale messaggio — ciò che è stato comunicato esattamente e a chi — fa parte del fascicolo. Non si tratta di un modello fisso uguale per ogni violazione dei dati; il contenuto dipende da cosa è accaduto e da quali dati sono coinvolti.
Accordi con fornitori e responsabili del trattamento
Se la violazione dei dati si verifica presso una parte che tratta dati per vostro conto, come un pacchetto contabile o un servizio di hosting, allora dovrebbe essere incluso anche l'accordo su questo punto registrato nel contratto di responsabile del trattamento: quella parte vi notifica gli incidenti e entro quale termine? Chi non ha ancora chiarito questo punto, trova in la knowledge base dove questo è elaborato per ogni situazione un punto di partenza per esaminare i contratti di responsabile del trattamento su questo aspetto.
Perché questo fascicolo è separato dalla vostra sicurezza
La documentazione relativa a una violazione dei dati è diversa dalle misure che hai adottato in anticipo per prevenire una violazione dei dati, ma i due aspetti sono correlati: un'autorità di vigilanza può chiedere come era la sicurezza dei tuoi dati al momento dell'incidente. Per sapere come la sicurezza dei dati viene documentata nella pratica, puoi leggere il chiarimento sulle misure di sicurezza appropriate.
avere tutto in ordine già adesso
La banca dati delle conoscenze e l'albero decisionale possono essere consultati gratuitamente, senza account. Se desideri registrare gli incidenti, i termini e i modelli relativi su un'unica piattaforma in modo strutturato anziché cercali di volta in volta, è per questo che è stato impostato l'abbonamento su gdpria.eu. Un account aziendale lo crei con il tuo numero KvK e numero di partita IVA, collegato all'organizzazione e non a un singolo indirizzo e-mail.
Se al momento devi valutare una possibile violazione dei dati, segui prima la verifica rapida gratuita o leggi gli argomenti nella banca dati delle conoscenze. Per la spiegazione di cosa si applica esattamente alla tua situazione, un avvocato o l'Autorità per la protezione dei dati rimangono il punto di contatto appropriato.