Violazione dei dati personali: quando e come notificarla
Un'e-mail con un elenco clienti al destinatario sbagliato, un portatile rubato o una lettera all'indirizzo sbagliato: una violazione dei dati capita in fretta. Il GDPR stabilisce esattamente cosa fare. Qui scopre quando deve notificare una violazione, a chi, e come evitare la prossima.
Cos'è una violazione dei dati personali?
Il GDPR la definisce all'art. 4, punto 12: una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Non deve per forza essere un attacco informatico. Anche una lettera spedita per errore o la condivisione involontaria di dati con un servizio esterno come un chatbot IA può essere una violazione.
Notifica al Garante
Secondo l'art. 33 GDPR il titolare notifica la violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, all'autorità di controllo competente, in Italia il Garante per la protezione dei dati personali. La notifica non è necessaria se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se la notifica avviene oltre le 72 ore, va motivato il ritardo.
La notifica descrive tra l'altro la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le probabili conseguenze e le misure adottate. Le informazioni mancanti possono essere fornite in fasi successive.
Comunicazione agli interessati
Se la violazione presenta probabilmente un rischio elevato, ad esempio con dati sanitari, dati finanziari o codici fiscali, deve informare anche gli interessati senza ingiustificato ritardo (art. 34 GDPR). Non serve, ad esempio, se i dati erano cifrati in modo efficace o se ha adottato misure che scongiurano il rischio elevato.
Sempre: il registro
Anche le violazioni che non vanno notificate devono essere documentate internamente: fatti, conseguenze e misure adottate (art. 33, par. 5, GDPR). Così può dimostrare al Garante di rispettare le regole. È responsabile del trattamento per conto di altri? Allora informi senza ingiustificato ritardo il titolare (art. 33, par. 2).
Cause frequenti
Secondo il rapporto 2024 dell'autorità olandese per la protezione dei dati, nei settori sanità, pubblica amministrazione e servizi finanziari circa metà delle notifiche riguardava una lettera inviata al destinatario sbagliato e circa il 15% un'e-mail inviata per errore. Nel 2024 l'autorità ha inoltre ricevuto diverse notifiche di dipendenti che avevano inserito dati personali in chatbot IA; leggete Usare ChatGPT nel rispetto del GDPR.
Come evitare violazioni quando condivide documenti
- Condivida solo ciò che serve davvero al destinatario (minimizzazione, art. 5 GDPR).
- Anonimizzi o pseudonimizzi i documenti prima di condividerli con esterni o strumenti IA. VerumVault lo fa localmente, senza upload.
- Controlli il destinatario prima di inviare e usi il CCN per le e-mail di gruppo.
- Cifri portatili e chiavette USB.
Leggete anche: GDPR per PMI e Oscurare il codice fiscale.
Anonimizzi gratis il Suo documento con VerumVault →Funziona in locale nel Suo browser · nessun upload · nessun accountDomande frequenti
Entro quanto devo notificare una violazione dei dati?
Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, al Garante. Una notifica successiva è possibile ma va motivata.
Devo notificare ogni violazione?
No. Non serve se è improbabile un rischio per gli interessati. Ogni violazione va però documentata nel registro interno.
Quando devo informare gli interessati?
Quando la violazione presenta probabilmente un rischio elevato per loro, ad esempio con dati sanitari, finanziari o codici fiscali.
Un'e-mail inviata per errore è una violazione dei dati?
Sì, se conteneva dati personali. Se vada notificata dipende dal rischio per gli interessati.