Dopo una violazione dei dati personali l’attenzione si concentra quasi sempre sulla notifica all’Autorità e sulle famose settantadue ore. Esiste però un secondo adempimento, distinto per presupposti e per conseguenze, che viene deciso con molta meno lucidità e che pesa molto di più sulla reputazione di un’organizzazione: la comunicazione del data breach agli interessati, disciplinata dall’articolo 34 del GDPR.
Quando la comunicazione del data breach agli interessati è obbligatoria
La soglia è diversa da quella della notifica all’Autorità. Mentre la notifica al Garante scatta salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone, la comunicazione agli interessati è dovuta quando la violazione è suscettibile di presentare un rischio elevato per quei diritti e quelle libertà. In quel caso il titolare deve comunicarla all’interessato senza ingiustificato ritardo.
La comunicazione deve descrivere con linguaggio semplice e chiaro la natura della violazione e contenere almeno il nome e i dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto, la descrizione delle probabili conseguenze e la descrizione delle misure adottate o di cui si propone l’adozione per porvi rimedio, comprese quelle per attenuarne i possibili effetti negativi.
I tre casi in cui si può evitare
Il Regolamento prevede tre esoneri, e vale la pena leggerli con attenzione perché sono più stretti di quanto si creda. La comunicazione non è richiesta quando il titolare aveva messo in atto misure tecniche e organizzative adeguate, applicate ai dati oggetto della violazione, che rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi — la cifratura è l’esempio tipico, purché effettiva e con chiavi non compromesse. Non è richiesta quando il titolare ha successivamente adottato misure atte a scongiurare il sopraggiungere del rischio elevato. E non è richiesta quando richiederebbe sforzi sproporzionati: in questo caso, però, si procede a una comunicazione pubblica o a una misura simile che informi gli interessati con analoga efficacia.
Resta inoltre il potere dell’Autorità di esigere la comunicazione quando ritiene che la violazione presenti un rischio elevato, anche se il titolare aveva deciso diversamente.
Perché il silenzio costa
La valutazione sul rischio elevato appartiene al titolare, ma è una valutazione che va documentata. Quando in istruttoria si scopre che la decisione di non comunicare non poggia su alcuna analisi scritta, la posizione dell’ente si indebolisce su due fronti insieme: quello della trasparenza verso gli interessati e quello del principio di responsabilizzazione.
C’è poi un elemento pratico che molte organizzazioni sottovalutano: gli interessati, se informati, possono proteggersi — cambiare credenziali, bloccare strumenti di pagamento, prestare attenzione a tentativi di contatto fraudolento. Privarli di questa possibilità è esattamente ciò che l’articolo 34 vuole evitare, ed è ciò che rende la mancata comunicazione una condotta valutata con severità. Le violazioni degli obblighi degli articoli 33 e 34 rientrano nella fascia dell’articolo 83, paragrafo 4, del GDPR.
La decisione si prepara prima
Nessuna organizzazione è in grado di valutare serenamente il rischio elevato nelle ore immediatamente successive a un incidente, mentre i sistemi sono fermi e le informazioni sono parziali. Per questo la procedura — chi decide, su quali criteri, con quali modelli di comunicazione già pronti — va scritta quando tutto funziona. È la stessa logica che emerge dalle carenze contestate dopo gli attacchi ransomware e dal quadro descritto per gli enti nell’articolo sul data breach nei Comuni della Campania.
Il presupposto di tutto resta la conoscenza dei propri trattamenti e della catena dei fornitori: senza un registro aggiornato, ricostruire quali dati siano stati coinvolti e quali persone vadano avvisate richiede giorni che non ci sono.
Prima che serva
Lo studio assiste aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli, nella predisposizione delle procedure di gestione delle violazioni e nella fase successiva all’incidente: il perimetro è descritto nel servizio di consulenza privacy, mentre per i profili contenziosi è disponibile il sito dello studio legale. Per un primo esame della documentazione, i riferimenti sono nella pagina dei contatti.
Avv. Elio Errichiello
