Violazioni della privacy e obblighi di comunicazione

Per violazione della privacy si intende la violazione della sicurezza che comporta accidentalmente o in modo illecito, la distruzione, la perdita, la diffusione non autorizzata di dati personali.

Per esempio immagina il professionista che perde la sua chiavetta USB contenente documenti in formato word o pdf da cui si evincono numerosi dati personali dei clienti.

[Torna su]

Se la privacy viene violata scattano alcuni obblighi a carico del titolare del trattamento e del responsabile del trattamento.

Il Responsabile del trattamento, appena venuto a conoscenza della violazione della privacy, deve, senza ritardo e comunque non oltre le 72 ore, comunicare l'accaduto al Garante della Privacy (autorità di controllo). L'obbligo non è previsto se non ci sono rischi per i diritto e le libertà della persona interessata.

Nell'esempio dell perdita della chiavetta USB può dirsi che il titolare viene a conoscenza della violazione della privacy per la semplice perdita. Infatti è alta la probabilità che qualcuno trovi la chiavetta e venga a conoscenza dei dati con il rischio che vengano diffusi.

Anche il responsabile del trattamento ha l'obbligo di comunicare l'accaduto al titolare in modo da metterlo a conoscenza e indurlo ad effettuare la comunicazione prevista dalla legge.

[Torna su]

L'obbligo di comunicazione della violazione non sempre si chiude con l'informativa trasmessa all'autorità di controllo (Garante della Privacy).

In alcuni ambiti sono previsti ulteriori obblighi

Il regolamento eIDAS (Reg. UE 910/2014) in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno impone ai prestatori di servizi fiduciari di notificare all'organismo di vigilanza una violazione della sicurezza o la perdita di integrità che hanno un impatto significativo sul servizio fiduciario fornito o sui dati personali conservati in tale contesto

Direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione, invece, impone agli operatori di servizi essenziali e ai fornitori di servizi digitali di notificare gli incidenti di sicurezza alle loro autorità competenti.