Il Regolamento GDPR impone obblighi stringenti in caso di violazione dei dati personali. Le aziende devono seguire protocolli precisi per la gestione del data breach, a partire dalla tempistica di 72 ore per la notifica al Garante Privacy.

Le 72 ore di notifica

L'articolo 33 del GDPR stabilisce che il titolare del trattamento deve notificare la violazione al Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne ha preso conoscenza, salvo che la violazione non presenti un rischio per i diritti e le libertà delle persone fisiche.

La notifica deve avvenire tramite il portale telematico del Garante Privacy, con informazioni dettagliate sulla natura della violazione, sulle categorie di dati coinvolti, sulle misure adottate e sulle possibili conseguenze.

La comunicazione agli interessati

Quando la violazione presenta un alto rischio per i diritti e le libertà delle persone fisiche, l'articolo 34 impone anche la comunicazione diretta agli interessati, in forma chiara e semplice, indicando le misure suggerite per mitigare il danno.

Buone pratiche di gestione

Un efficace piano di risposta agli incidenti prevede: individuazione immediata della violazione, contenimento dell'incidente, valutazione del rischio, notifica tempestiva alle autorità, comunicazione agli interessati quando richiesto, e documentazione di tutte le attività poste in essere.