Data Breach: La Notifica Di Una Violazione Al Garante Non È Obbligatoria In Tutte Le Circostanze
IL GDPR che introduce all’art. 4 del regolamento l’obbligo di notificare una violazione, non è obbligatorio in tutte le circostanze.
Difatti, la notifica all’autorità di controllo competente è obbligatoria a meno che sia improbabile che la violazione possa presentare un rischio per i diritti e le libertà delle persone fisiche. Ancora, la comunicazione di una violazione alle persone fisiche diventa necessaria soltanto laddove la violazione possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
Di conseguenza, quando il titolare del trattamento viene a conoscenza di una violazione, è fondamentale che non si limiti a contenere l’incidente, ma valuti anche il rischio che potrebbe derivarne così da poter stabilire se è necessaria la notifica all’autorità di controllo e, se necessario, alle persone fisiche interessate. Di norma, nella valutazione del rischio si dovrebbero prendere in considerazione tanto la probabilità quanto la gravità del rischio per i diritti e le libertà degli interessati. Inoltre il regolamento afferma che il rischio dovrebbe essere valutato in base a una valutazione oggettiva.
Il rischio si presenta quando la violazione può comportare un danno fisico, materiale o immateriale per le persone fisiche i cui dati sono stati violati. Esempi di tali danni sono:
- la discriminazione;
- il furto;
- l’usurpazione d’identità;
- perdite finanziarie e il pregiudizio alla reputazione.
La violazione potrebbe riguardare anche dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, oppure che includono dati genetici, dati relativi alla salute o dati relativi alla vita sessuale o a condanne penali e a reati o alle relative misure di sicurezza.
Nel valutare il rischio per le persone fisiche derivante da una violazione, quindi, il titolare del trattamento deve considerare le circostanze specifiche della violazione, inclusa la gravità dell’impatto potenziale e la probabilità che tale impatto si verifichi. La valutazione pertanto, secondo il Gruppo di lavoro dei garanti europei deve tener conto dei seguenti criteri:
- Tipo Di Violazione;
- Natura, Carattere Sensibile E Volume Dei Dati Personali;
- Facilità Di Identificazione Delle Persone Fisiche;
- Gravità Delle Conseguenze Per Le Persone Fisiche;
- Caratteristiche Particolari Dell’interessato;
- Caratteristiche Particolari Del Titolare Del Trattamento Di Dati;
- Numero Di Persone Fisiche Interessate;
- Aspetti generali.
In virtù di quanto detto, in caso di dubbio sulla gravità della violazione, si raccomanda al titolare del trattamento di essere molto prudente prima di effettuare la notifica.