Art. 34 — Comunicazione di una violazione dei dati personali all'interessato
Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo.
La comunicazione all'interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all'articolo 33, paragrafo 3, lettere b), c) e d).
Non è richiesta la comunicazione all'interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni: a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura; b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1; c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.
Nel caso in cui il titolare del trattamento non abbia ancora comunicato all'interessato la violazione dei dati personali, l'autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.
Spiegazione
Se una violazione dei dati può mettere seriamente a rischio i diritti o le libertà delle persone, il titolare deve avvisare gli interessati senza ritardi ingiustificati. L’avviso deve spiegare in modo comprensibile che cosa è successo, quali conseguenze può avere, a chi rivolgersi e quali misure sono state adottate o si intendono adottare. L’avviso può non essere necessario, per esempio, se i dati erano protetti in modo da risultare incomprensibili a chi non era autorizzato, oppure se misure successive hanno eliminato il rischio elevato. Se contattare singolarmente le persone richiederebbe sforzi sproporzionati, occorre informarle con un annuncio pubblico o con un mezzo altrettanto efficace; l’autorità di controllo può comunque chiedere al titolare di procedere.
Perché esiste questa norma
La norma mira a permettere alle persone esposte a una violazione grave di capire il rischio e adottare tempestivamente precauzioni. Prevede eccezioni quando la comunicazione non è necessaria o non è praticabile con mezzi individuali, senza rinunciare a un’informazione efficace.
Domande frequenti
Un’azienda deve avvisarmi se qualcuno ha sottratto i miei dati?
Sì, se la violazione è suscettibile di comportare un rischio elevato per i tuoi diritti o le tue libertà. L’avviso deve arrivare senza ritardi ingiustificati.
Devo essere avvisato se i dati rubati erano cifrati?
Non necessariamente. La comunicazione può non essere richiesta se misure adeguate, come la cifratura, rendevano i dati incomprensibili a chi non era autorizzato ad accedervi.
E se l’azienda riesce a bloccare il pericolo dopo la violazione?
La comunicazione può non essere necessaria se le misure adottate successivamente scongiurano il rischio elevato per le persone interessate.
Se siamo migliaia di interessati, possono informare solo con un annuncio pubblico?
Sì, quando contattare ciascuna persona richiederebbe sforzi sproporzionati. L’annuncio o una misura equivalente deve però informare gli interessati con analoga efficacia.
Chi decide se l’azienda deve avvisarmi?
In primo luogo decide il titolare del trattamento. Se non ti ha ancora informato, l’autorità di controllo può valutare il rischio e chiedergli di comunicare la violazione.