Cosa significa notifica di violazione dei dati nel GDPR?

La notifica di violazione dei dati è l'obbligo, previsto dall'articolo 33 del GDPR, per cui il titolare del trattamento comunica al Garante privacy una violazione di dati personali senza ingiustificato ritardo e, dove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che quella violazione presenti un rischio per i diritti e le libertà delle persone fisiche coinvolte. Quando il rischio è elevato, l'articolo 34 aggiunge un secondo obbligo, distinto e con soglia più alta: comunicare la violazione anche agli interessati. Le 72 ore sono il vincolo più citato, ma il punto che le aziende sottovalutano è un altro: rispettarle presuppone di sapere già, prima dell'incidente, quali dati personali possiedi e dove risiedono. Senza quella base, la notifica diventa un esercizio di ricostruzione fatto sotto pressione invece che una risposta rapida a una domanda a cui si sa già rispondere.

Il prerequisito che nessuno prepara in tempo

Rispondere a "quali dati sono stati esposti e per chi" richiede due cose già pronte prima dell'incidente: un inventario aggiornato dei dati personali che l'azienda tratta, con chiarezza su titolarità e sistemi coinvolti, e una tracciabilità reale degli accessi, log e audit trail che permettano di ricostruire cosa è stato letto o esportato e per quanto tempo. Senza questo, il team di risposta scopre in tempo reale cosa esiste invece di verificare cosa già sapeva. Gli strumenti di data governance non sono quindi un tema adiacente alla notifica: sono la condizione che la rende possibile nei tempi previsti dalla norma.

Quando il sistema violato è di un fornitore

Il caso più delicato è quando la violazione avviene su un sistema gestito da un fornitore terzo, il responsabile del trattamento nel linguaggio del GDPR. È il titolare, non il fornitore, a dover notificare al Garante nei termini dell'articolo 33, ma il titolare dipende dalla rapidità con cui il fornitore lo avvisa. L'unica cosa che rende praticabile questa catena è contrattuale: una clausola di notifica rapida nell'accordo di responsabile del trattamento, negoziata prima, non durante l'incidente. Verificarne l'esistenza nei contratti con i fornitori critici è un controllo che vale la pena fare prima che serva davvero, non durante l'emergenza.

Perché conta per chi decide

Valutare se una violazione presenta un rischio, e se quel rischio è elevato abbastanza da richiedere anche la comunicazione agli interessati, è un giudizio che dipende dalla sensibilità dei dati coinvolti: di nuovo, una classificazione che va fatta prima, non durante l'emergenza. Per le aziende che rientrano anche nello scope NIS2, va tenuto distinto un secondo regime, quello degli incidenti significativi con pre-allerta, notifica e relazione finale: corre in parallelo al GDPR, con destinatari e tempistiche proprie, non è lo stesso adempimento. Chi decide non dovrebbe misurare la propria prontezza sulla velocità con cui riesce a scrivere la notifica, ma sulla velocità con cui riesce a rispondere alla domanda che la notifica presuppone.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.