Una violazione di dati personali deve essere comunicata agli interessati senza ingiustificato ritardo quando è suscettibile di presentare un rischio elevato per i loro diritti e libertà, salvo le condizioni di esenzione dell’articolo 34, paragrafo 3. La comunicazione serve a permettere alle persone di comprendere l’accaduto e proteggersi. Non è soltanto un comunicato sulla reputazione dell’organizzazione.
L’articolo 34 del GDPR va distinto dall’articolo 33 sulla notifica all’autorità. Le soglie e i destinatari sono diversi. Il termine di settantadue ore dell’articolo 33 non diventa un’attesa consentita prima di avvisare le persone: l’articolo 34 richiede di agire senza ingiustificato ritardo. Questa guida prepara una decisione documentata e un messaggio concretamente utilizzabile.
Stabilire quali persone e dati siano coinvolti
Raccogliere informazioni confermate su natura della violazione, categorie di dati, persone interessate, durata dell’esposizione e destinatari non autorizzati. Una violazione può riguardare riservatezza, integrità o disponibilità. La perdita di accesso a dati essenziali può avere conseguenze serie anche senza una divulgazione accertata.
La mappatura dei sistemi e dei flussi aiuta a individuare copie e destinatari. Distinguere il perimetro confermato da quello ancora in verifica. Non affermare che tutti i clienti siano coinvolti se l’evento riguarda un gruppo delimitato, né escludere gruppi per i quali mancano ancora le evidenze necessarie.
I log di sicurezza possono chiarire accessi e tempi. La mancanza di registrazioni non prova l’assenza di consultazione: va riportata come limite della ricostruzione e considerata nella valutazione del rischio.
Valutare il rischio elevato per le persone
Esaminare natura e sensibilità dei dati, facilità di identificazione, possibilità di abuso, vulnerabilità delle persone e conseguenze prevedibili. Informazioni sanitarie, credenziali riutilizzabili, documenti d’identità o dettagli finanziari possono richiedere attenzione particolare, ma la valutazione non si riduce a un elenco fisso di categorie.
La guida alle categorie particolari di dati aiuta a riconoscere informazioni protette anche indirettamente. Una lista di appuntamenti presso un servizio specialistico può rivelare più di quanto suggerisca il nome del file.
Le linee guida EDPB 01/2021 sugli esempi di violazioni forniscono casi per ragionare sui fattori rilevanti. Non vanno usate come un catalogo di esiti da copiare senza considerare differenze di contesto, protezioni e conseguenze.
Esaminare le tre condizioni dell’articolo 34, paragrafo 3
La comunicazione non è richiesta quando il titolare ha applicato ai dati interessati misure appropriate che li rendono incomprensibili a chi non è autorizzato, come una cifratura efficace; quando ha adottato successivamente misure che scongiurano il rischio elevato; oppure quando richiederebbe sforzi sproporzionati, nel qual caso è necessaria una comunicazione pubblica o misura simile altrettanto efficace nell’informare le persone.
La prima condizione richiede prove sulla protezione effettiva. La gestione delle chiavi di cifratura deve dimostrare che chiavi e dati non siano stati compromessi insieme. La semplice presenza della parola «cifrato» nella scheda del prodotto non basta.
La seconda richiede misure che eliminino la probabilità del rischio elevato, non soltanto un intervento che riduca un aspetto dell’incidente. Cambiare una password può impedire nuovi accessi, ma non recupera automaticamente dati già copiati. La terza non è una dispensa dalla comunicazione: cambia la modalità, mantenendo l’efficacia informativa richiesta.
Preparare contenuti chiari e pertinenti
L’articolo 34, paragrafo 2, richiede un linguaggio semplice e chiaro sulla natura della violazione e almeno contatti del DPO o di altro punto di contatto, probabili conseguenze e misure adottate o proposte, comprese quelle per attenuare i possibili effetti negativi. Organizzare questi elementi intorno alle domande della persona.
| Domanda del destinatario | Contenuto da preparare |
|---|---|
| Che cosa è successo? | Evento descritto con fatti confermati e periodo pertinente |
| Quali miei dati riguardava? | Categorie e perimetro comprensibili |
| Quale conseguenza può avere? | Rischi plausibili senza allarmismi o rassicurazioni infondate |
| Che cosa avete fatto? | Misure effettivamente adottate e azioni ancora previste |
| Che cosa posso fare? | Indicazioni utili e proporzionate al rischio |
| Dove ottengo aiuto? | Contatto funzionante e modalità di aggiornamento |
La trasparenza dell’articolo 12 aiuta a evitare testi pieni di termini interni. Un messaggio comprensibile può distinguere ciò che è noto da ciò che è ancora indagato senza diventare vago sull’accaduto.
Esempio ipotetico di struttura del messaggio
Supponiamo che un portale abbia consentito a un altro account di scaricare alcuni documenti personali e che il titolare abbia valutato un rischio elevato. Il messaggio potrebbe iniziare indicando il problema, il periodo confermato e le categorie di dati contenute nei documenti coinvolti, senza allegare nuovamente quei documenti.
Un testo di lavoro può dire: «Abbiamo corretto un errore che consentiva a un altro account di accedere ad alcuni documenti della sua area riservata. Le verifiche confermano che il suo documento rientra tra quelli interessati. Contiene le seguenti categorie di informazioni: [categorie verificate]. Il principale rischio che abbiamo individuato è [conseguenza pertinente].» I campi devono essere completati con fatti accertati prima dell’invio.
Segue una descrizione delle misure, delle precauzioni utili e del contatto. Non aggiungere automaticamente consigli come cambiare password se l’evento non ha coinvolto credenziali o account: indicazioni irrilevanti possono distrarre dalla misura davvero utile. Non dichiarare «nessun danno possibile» soltanto perché non sono ancora arrivate segnalazioni.
Scegliere canale e destinatari senza creare un’altra violazione
Usare un canale che raggiunga le persone e che non esponga ulteriormente dati. Verificare recapiti, invio individuale, oggetto e contenuto visibile nelle anteprime. Per gruppi vulnerabili o particolari contesti, valutare modalità e linguaggio adeguati, includendo rappresentanti autorizzati quando pertinente.
Per un servizio sanitario, la guida alla consegna sicura dei referti online evidenzia rischi dei canali e degli avvisi. Una comunicazione di incidente non deve inserire diagnosi nell’oggetto dell’email o in un SMS leggibile da altri.
Se il recapito è proprio il dato compromesso o inesatto, verificare un’alternativa. Registrare messaggi respinti e azioni conseguenti. L’invio tecnico a una lista non dimostra necessariamente che la modalità scelta sia stata efficace nel contesto.
Coordinare decisione, invio e aggiornamenti
Assegnare chi raccoglie fatti, chi valuta il rischio, chi decide, chi prepara il testo e chi gestisce le risposte. Il DPO deve essere coinvolto secondo il proprio ruolo, mantenendo la sua indipendenza. Il titolare conserva la responsabilità della decisione.
La notifica all’autorità e la comunicazione alle persone devono essere coerenti sui fatti confermati. Se nuove verifiche cambiano il perimetro, valutare aggiornamenti senza riscrivere silenziosamente la storia. Conservare versioni e motivazioni dei cambiamenti.
L’autorità può richiedere la comunicazione quando ritiene probabile il rischio elevato oppure decidere che ricorra una condizione di esenzione, secondo l’articolo 34, paragrafo 4. La valutazione interna deve quindi essere documentata anche quando conclude per la mancata comunicazione.
Registrare la decisione e verificare la risposta operativa
Il fascicolo comprende cronologia, dati e persone coinvolte, fattori di rischio, misure, valutazione delle condizioni del paragrafo 3, decisione, testi e prove di invio. L’accountability richiede un ragionamento ricostruibile, non una casella «rischio basso» senza spiegazione.
Preparare il punto di contatto: il personale deve conoscere le informazioni confermate e sapere quando inoltrare una richiesta specifica. Non chiedere alla persona di ripetere dettagli sensibili per ricevere una spiegazione generale. Le domande ricevute possono mostrare che il messaggio iniziale era ambiguo e richiedere un chiarimento.
Dopo l’incidente, riesaminare tempi della decisione, correttezza dei destinatari, comprensione delle istruzioni e capacità di assistenza. Il successo della comunicazione non coincide con l’assenza di reclami: consiste anche nell’aver fornito tempestivamente informazioni utili e coerenti con le evidenze disponibili.