Garante Privacy: ecco il nuovo modello per la notifica delle violazioni dei dati personali

Il Garante per la Protezione dei Dati Personali ha pubblicato il nuovo modello per la notifica delle violazioni dei dati personali con Provvedimento del 30 luglio 2019 (doc. web n. 9126951) che annulla e sostituisce tutti i precedenti. La notifica dovrà contenere le informazioni previste all’art. 33 par. 3 e Considerando 85,87,88 del Regolamento (UE) 2016/679 ma non i dati personali oggetto di violazione (es. non fornire i nomi dei soggetti interessati dalla violazione).

---

Scarica il modello per la notifica delle violazioni dei dati personali

---

Nel modello, oltre a dover indicare la natura della violazione:

• Perdita di confidenzialità;
• Perdita di integrità;
• Perdita di disponibilità;

 è richiesta la causa della violazione come di seguito suddivisa:

• Azione intenzionale interna;
• Azione accidentale interna;
• Azione intenzionale esterna;
• Azione accidentale esterna;
• Sconosciuta;
• Altro (da specificare);

Inoltre, il documento presenta spazi in cui descrivere in maniera dettagliata le categorie di dati personali oggetto di violazione:

• Dati anagrafici;
• Dati di contatto (email, indirizzo postale, recapito telefonico fisso o mobile);
• Dati di accesso e di identificazione (username, password, customer ID, amministratore di sistema);
• Dati di pagamento (numero c/c, pin carta di credito);
• Dati di profilazione;
• Dati relativi a documenti di identificazione/riconoscimento (carta d’identità, passaporto, patente);
• Dati di localizzazione;
• Dati di traffico internet (email, navigazione);
• Dati relativi alla salute, genetici, biometrici, giudiziari, categorie non ancora determinate, ecc.).

e poi:

• l’incidente di sicurezza;
• i sistemi e le infrastrutture IT coinvolti nell’incidente e la loro ubicazione fisica o virtuale;
• le misure di sicurezza tecniche ed organizzative adottate per ripristinare la situazione;
• le tipologie di prevenzione adottate per evitare un nuovo evento.

In particolare, bisogna indicare, in maniera anche approssimativa, il numero dei dati personali violati.

Si ricorda che per violazione di dati personali, nota anche come Data Breach, si intende una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. 

Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali. 

Alcuni possibili esempi: 

• l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;
• il furto o la perdita di dispositivi informatici contenenti dati personali;
• la deliberata alterazione di dati personali;
• l’impossibilitàdi accedere ai dati per cause accidentali o per attacchi esterni, virus,  malware, ecc.; 
• la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;
• la divulgazione non autorizzata dei dati personali.

Come previsto dallo stesso articolo, Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la Protezione dei Dati Personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’Autorità di controllo non sia effettuata entro 72 ore, questa dovrà essere corredata dei motivi del ritardo.

Il responsabile del trattamento che viene a conoscenza di una eventuale violazione ètenuto a informare tempestivamente il titolare affinchè questo possa attivarsi. 

Andranno quindi notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sulle persone fisiche, causando danni fisici, materiali o immateriali.

Questi possono essere, a titolo di esempio: 

• perdita di controllo sui propri dati personali;
• limitazione dell’esercizio di alcuni diritti;
• discriminazione personale;
• furto di identità o rischio di frode;
• perdita di riservatezza dei dati personali protetti dal segreto professionale;
• perdita finanziaria;
• danno alla reputazione;
• qualsiasi altro svantaggio economico o sociale.

Se la violazione comporta un rischio elevato per i diritti delle persone, il titolare dovrà comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto. 

Il titolare del trattamento, a prescindere dalla notifica al Garante, dovrà documentare tutte le violazioni dei dati personali, ad esempio predisponendo un apposito registro. Tale documentazione consente all’Autoritàdi effettuare eventuali verifiche sul rispetto della normativa.

La notifica dovrà essere  inviata al Garante tramite posta certificata elettronica al seguente indirizzo:protocollo@pec.gpdp.it e sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) o con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento del firmatario.

L’oggetto del messaggio dovrà contenere obbligatoriamente la dicitura “Notifica Violazione Dati Personali” ed opzionalmente la denominazione del titolare del trattamento.

A seguito della comunicazione, il Garante potrà prescrivere delle misure correttive (art. 58, par 2 del Reg. UE 2016/679) nel caso sia rilevata una violazione delle disposizioni del Regolamento stesso anche per quanto riguarda l’adeguatezza delle misure di sicurezza tecniche ed organizzative applicate ai dati oggetto della violazione. Si segnala, al riguardo, che sono previste sanzioni pecunarie che possono arrivare fino a 10 milioni di Euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale.

 Link del provvedimento:

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9126951

Fonte: https://www.garanteprivacy.it/regolamentoue/databreach

@riproduzione riservata

News