Violazione dei dati personali, il modello di notifica approvato dal Garante

Il comma 1 dell’articolo 33 del Regolamento generale sulla protezione dei dati (Gdpr) prevede che «in caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo». In tal senso, il Garante per la protezione dei dati personali, con provvedimento n. 157 del 30 luglio 2019, ha predisposto un nuovo modello (allegato in basso) attraverso il quale i soggetti tenuti alla notifica delle violazioni dei dati personali possono adempiere a tale obbligo.

Tra i possibili esempi di violazione dei dati, il Garante evidenzia «l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati», «il furto o la perdita di dispositivi informatici contenenti dati personali», «la deliberata alterazione di dati personali», «l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ecc.», «la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità», ed infine «la divulgazione non autorizzata dei dati personali». Quanto alle modalità di invio del nuovo modello «la notifica – specifica l’Autorità – deve essere inviata al Garante tramite posta elettronica all’indirizzo protocollo@pec.gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento d’identità del firmatario». Inoltre, «l’oggetto del messaggio deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare del trattamento».