Obblighi di notifica in caso di violazione dei dati personali: versione aggiornata Linee Guida n. 09/2022 del Comitato Europeo per la Protezione dei Dati

Con nota del 28 luglio il ministero dell’istruzione e del merito ha trasmesso la versione aggiornata (in lingua inglese) delle Linee Guida n. 09/2022 del Comitato Europeo per la Protezione dei Dati. Secondo l’art. 4, n. 12 del Regolamento UE 2016/679 costituisce violazione di dati personali ogni “violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.

Una violazione di dati personali o data breach costituisce un incidente di sicurezza che abbia coinvolto dati personali e dal quale possano derivare rischi per gli interessati.

Mentre ogni data breach rappresenta sempre la conseguenza più severa di un incidente di sicurezza (security incident), non ogni incidente di sicurezza è destinato a sfociare in un’effettiva violazione di dati e, quindi, a dare luogo a un data breach.

Le violazioni di dati personali possano essere classificate in tre diverse tipologie connesse alla sicurezza delle informazioni (Triade R.I.D.):
– violazione della riservatezza, in caso di divulgazione dei dati personali o accesso agli stessi non autorizzato o accidentale;
– violazione dell’integrità, in caso di modifica non autorizzata o accidentale dei dati personali;
– violazione della disponibilità, in caso di perdita, accesso o distruzione accidentali o non autorizzati di dati personali.

Nella nota sopra detta si sottolinea come una violazione di dati personali può, del resto, se non affrontata in modo adeguato e
tempestivo provocare agli interessati danni fisici, materiali e immateriali, come la limitazione dei diritti, la discriminazione, il furto o l’usurpazione di identità, un pregiudizio alla reputazione e/o altri nocumenti di natura tanto economica, quanto sociale.

Particolare attenzione va data alla tempestività della segnalazione: l’articolo 33 del GDPR specifica che “in caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza”.

Nota

Linee guida aggiornate