Una violazione di dati personali (data breach) è — ai sensi dell'art. 4 n. 12 GDPR — una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trattati.
I tre tipi di breach (EDPB Linee guida 9/2022)
- Breach di riservatezza — divulgazione o accesso non autorizzato.
- Breach di integrità — modifica non autorizzata.
- Breach di disponibilità — perdita di accesso o distruzione (anche temporanea, es. ransomware).
L'obbligo di notifica al Garante (art. 33 GDPR)
Il titolare del trattamento deve notificare il breach al Garante entro 72 ore dalla conoscenza del fatto, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Le 72 ore decorrono da quando il titolare ha ragionevole certezza dell'avvenuta violazione, non dalla mera segnalazione iniziale.
Se la notifica non è possibile entro 72 ore deve essere accompagnata dai motivi del ritardo (notifica tardiva motivata).
La notifica si effettua tramite la procedura telematica disponibile sul sito del Garante (servizidoc.garanteprivacy.it).
Il contenuto della notifica
Ai sensi dell'art. 33 par. 3:
1. Natura della violazione (categorie e numero approssimativo di interessati e di registrazioni coinvolte).
2. Dati di contatto del DPO o di altro punto di contatto.
3. Conseguenze probabili della violazione.
4. Misure adottate o proposte per porre rimedio e attenuare i possibili effetti negativi.
Quando le informazioni non sono disponibili tutte insieme, è ammessa la notifica per fasi (preliminare, integrativa, finale).
Comunicazione agli interessati (art. 34)
Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati, il titolare deve comunicare la violazione agli interessati senza ingiustificato ritardo, in linguaggio semplice e chiaro, indicando natura, contatti, conseguenze probabili e misure.
Documentazione interna (art. 33 par. 5)
Indipendentemente dalla notifica al Garante, il titolare deve documentare ogni violazione in un registro dei data breach (anche per quelle non notificate, indicando il motivo della non notifica). Il registro è soggetto a verifica da parte del Garante.
Errori comuni
- Far decorrere le 72 ore dalla chiusura dell'analisi forense invece che dalla ragionevole certezza del breach.
- Non istituire un registro interno delle violazioni.
- Non valutare il rischio per gli interessati e quindi omettere la comunicazione ex art. 34.
- Notificare solo al Garante e dimenticare gli obblighi paralleli: NIS2 (CSIRT-ACN), DORA (autorità di vigilanza), settore TLC (AGCom), CER (autorità competente).
- Comunicazioni agli interessati generiche o rassicuranti senza basi.
Sanzioni
Mancata notifica o notifica tardiva: fino a 10 mln € o 2% del fatturato annuo mondiale (art. 83 par. 4 GDPR), cumulabili con sanzioni per la violazione delle misure di sicurezza (art. 32) e con responsabilità ex D.Lgs. 231/2001 (art. 24-bis, reati informatici) e civile ex art. 82 GDPR.