Art. 33 — Notifica di una violazione dei dati personali all'autorità di controllo
In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.
Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.
La notifica di cui al paragrafo 1 deve almeno: a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; c) descrivere le probabili conseguenze della violazione dei dati personali; d) descrivere le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.
Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all'autorità di controllo di verificare il rispetto del presente articolo.
Spiegazione
Se un’organizzazione subisce una violazione di dati personali che può comportare rischi per le persone, deve avvisare l’autorità di controllo senza ingiustificato ritardo e, se possibile, entro 72 ore da quando ne viene a conoscenza. Se a scoprire la violazione è il fornitore che tratta i dati per conto dell’organizzazione, deve avvisare quest’ultima senza ingiustificato ritardo: il termine di 72 ore riguarda invece l’organizzazione e la notifica all’autorità. Le informazioni mancanti possono essere comunicate in seguito, senza ritardi ingiustificati, e ogni violazione deve essere documentata. Se la notifica supera le 72 ore, occorre spiegare il ritardo.
Perché esiste questa norma
La norma tutela le persone dai possibili danni causati dalla perdita, divulgazione o accesso illecito ai loro dati. La segnalazione tempestiva permette all’autorità di valutare l’accaduto, mentre la documentazione consente di verificare che l’organizzazione abbia rispettato i propri obblighi.
Domande frequenti
Se vengono rubati dati dei clienti, l’organizzazione deve sempre avvisare l’autorità?
No. La notifica non è richiesta quando è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone. Se il rischio non è improbabile, l’organizzazione deve avvisare l’autorità senza ingiustificato ritardo.
Il fornitore che gestisce i miei dati ha subito una violazione: quanto tempo ha per avvisare l’organizzazione?
Deve informare l’organizzazione senza ingiustificato ritardo da quando viene a conoscenza della violazione. Il termine di 72 ore previsto per la notifica all’autorità riguarda l’organizzazione titolare del trattamento.
Che cosa deve comunicare l’organizzazione all’autorità?
Deve indicare, per quanto possibile, che cosa è successo e quante persone e registrazioni potrebbero essere coinvolte, fornire un contatto, descrivere le conseguenze probabili e illustrare le misure adottate o previste.
Se l’organizzazione non riesce a raccogliere subito tutti i dettagli, può aspettare prima di segnalare?
Non deve ritardare ingiustificatamente la notifica. Può inviare le informazioni disponibili e completarle in fasi successive, sempre senza ulteriori ritardi ingiustificati.
Come cittadino, ricevo necessariamente un avviso dall’organizzazione se i miei dati sono coinvolti?
L’articolo qui considerato disciplina la notifica all’autorità di controllo, non stabilisce di per sé un obbligo di avvisare direttamente ogni persona coinvolta.