Procedura di data breach

Gli artt. 33 e 34 del GDPR — integrati dalle Linee guida EDPB 9/2022 sulla notifica delle violazioni dei dati personali — impongono al Titolare obblighi di notifica al Garante (entro 72 ore dalla conoscenza) e di comunicazione agli interessati (in caso di rischio elevato per i loro diritti e libertà). Le Linee guida EDPB 9/2022 forniscono esempi pratici di valutazione del rischio, incluse le violazioni che riguardano dati sanitari (categorie particolari ex art. 9 GDPR).

1. Rilevazione e segnalazione — chiunque venga a conoscenza di un possibile incidente lo segnala immediatamente al Titolare.
2. Valutazione — analisi della natura, categorie e numero di interessati, conseguenze probabili, misure adottate o proposte.
3. Contenimento e rimedio — attivazione delle misure tecniche e organizzative per limitare gli effetti.
4. Notifica al Garante — entro 72 ore quando l'evento comporti rischio per i diritti e libertà degli interessati (art. 33 GDPR).
5. Comunicazione agli interessati — senza ingiustificato ritardo, in caso di rischio elevato (art. 34 GDPR).
6. Registrazione — ogni violazione, anche se non notificata, è registrata nel Registro interno delle violazioni.

La notifica non è dovuta se la violazione è improbabile presenti un rischio per i diritti e le libertà delle persone fisiche (es. dati cifrati con chiave non compromessa). L'evento è comunque registrato internamente.

• Descrizione della natura della violazione.
• Punto di contatto per maggiori informazioni.
• Conseguenze probabili.
• Misure adottate o proposte per attenuare gli effetti.

Notifica al Garante entro 72 ore dalla conoscenza dell'evento. La comunicazione agli interessati avviene senza ingiustificato ritardo quando ricorre il rischio elevato.

Se ritieni che i tuoi dati abbiano subito una violazione, scrivi tempestivamente a info@pmiservizi.it o PEC a pmiservizisrl@pec.it. Vedi anche la pagina Diritti dell'interessato.

Reclamo al Garante o ricorso giurisdizionale.