di Annamaria Villafrate - Con il provvedimento del 30 luglio (sotto allegato) con cui il Garante privacy rende noto il nuovo modello (sotto allegato) da utilizzare per segnalare i data breach, ovvero i casi di violazione dei dati personali, si aggiunge un altro tassello all'attuazione del Gdpr. Vediamo cosa prevede il provvedimento, come č composto il modello e come fare per inviarlo al Garante.
Data breach: il provvedimento del Garante
Il Garante per la protezione dei dati personali il 30 luglio 2019 ha emanato il provvedimento sulla notifica delle violazioni dei dati personali (sotto allegato), meglio noto con il termine "data breach". Il provvedimento va a sostituire quanto stabilito in relazione ai termini temporali, contenuto, modalitą della comunicazione delle violazioni di dati personali e di scambio dei dati personali tra amministrazioni pubbliche, in materia di Dossier sanitario, in tema di biometria, nell'ambito della disciplina sulla comunicazione delle violazioni di dati personali e della circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie.
Il modello per le segnalazioni
Per consentire ai soggetti che sono tenuti a notificare le violazioni dei dati personali al Garante, in adempimento degli obblighi sanciti dall'art. 33 del regolamento e dall'art. 26 del dlgs n. 51/2018, il provvedimento reca in allegato un modello che si compone delle seguenti parti:
- tipo di notifica: preliminare, completa o integrativa;
- Sez A: dati del soggetto notificante;
- Sez B: dati del titolare del trattamento;
- Sez B1: dati di contatto per acquisire informazioni sulla violazione;
- Sez B2: dati dei soggetti che coinvolti nel trattamento dei dati, con indicazione del ruolo svolto;
- Sez C: data e periodo della violazione; momento e modalitą in cui il titolare ne č venuto a conoscenza dell'inosservanza; motivi dell'eventuale ritardo della notifica se avvenuta oltre le 72 ore; descrizione in breve della violazione; natura e causa della stessa, categorie di dati personali oggetto dell'infrazione; volume dei dati violati; categorie e numero dei soggetti coinvolti nella violazione;
- Sez D: informazioni di dettaglio della violazione, come la categoria dei dati violati, descrizione dei sistemi e delle infrastrutture tecnologiche e informatiche coinvolte con indicazione della loro ubicazione; misure di sicurezza messe in atto per garantire la sicurezza dei dati;
- Sez E: possibili conseguenze e gravitą della violazione in caso di perdita di confidenzialitą, di disponibilitą, potenziali effetti negativi per gli interessati, stima della gravitą della violazione;
- Sez F: misure adottate per rimediare, ridurre gli effetti negativi e prevenire violazioni future;
- Sez G: comunicazione agli interessati in cui indicare se la violazione č stata comunicata agli interessati, quanti sono, qual'č il contenuto della comunicazione agli stessi e quale canale č stato utilizzato;
- Sez H: raccoglie le informazioni residuali per sapere se la violazione ha coinvolto soggetti interessati di paesi dello spazio economico europeo o fuori di esso, se la violazione č stata notificata ad altri organismi deputati alla vigilanza o al controllo e se č stata effettuata una segnalazione anche agli organi giudiziari o di polizia.
Come inviare il modello
Il modello previsto per la segnalazione della violazione dei dati personali, una volta scaricato, deve essere compilato, indicando obbligatoriamente nell'oggetto del messaggio la dicitura "notifica violazione dati personali" e inviato all'indirizzo protocollo@pec.gpdp.it.
Il modello deve essere sottoscritto con firma elettronica qualificata, digitale o autografa, ma in questo caso č necessario allegare una copia del documento di identitą di chi appone la firma.