Notifica di violazione dei dati

Una notifica di violazione dei dati è un obbligo giuridico di informare le autorità di controllo e, in alcuni casi, le persone interessate quando i dati personali sono stati compromessi a seguito di una violazione della sicurezza. Ai sensi del GDPR, i titolari del trattamento devono notificare alla propria autorità di controllo entro 72 ore dal momento in cui ne sono venuti a conoscenza una violazione che comporti un rischio per i diritti e le libertà delle persone, e notificare direttamente le persone interessate se la violazione presenta un rischio elevato.

Base giuridica

"In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche."

— Articolo 33, paragrafo 1, Regolamento (UE) 2016/679 (GDPR)

"Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo."

— Articolo 34, paragrafo 1, Regolamento (UE) 2016/679 (GDPR)

Perché è importante

Gli obblighi di notifica delle violazioni dei dati riguardano qualsiasi organizzazione che tratti dati personali nel contesto di servizi di pubblicità politica. Per i committenti, gli editori e i fornitori di servizi di pubblicità politica ai sensi del Regolamento 2024/900, ciò significa che qualsiasi accesso non autorizzato, perdita o alterazione di dati personali utilizzati per la profilazione o la distribuzione di annunci deve essere prontamente segnalato all'autorità competente per la protezione dei dati.

La finestra di notifica di 72 ore è rigorosa e decorre dal momento in cui l'organizzazione viene a conoscenza della violazione, non da quando termina le indagini. Le organizzazioni devono disporre di processi interni per rilevare, indagare e segnalare rapidamente le violazioni. La mancata notifica può comportare sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale ai sensi del GDPR.

Per quanto riguarda specificamente la pubblicità politica, le violazioni che coinvolgono dati di profilazione, profili degli elettori o preferenze politiche sono particolarmente sensibili. Tali violazioni possono esporre gli individui a manipolazione, discriminazione o danni ritorsivi, rendendo la tempestiva notifica fondamentale per proteggere i processi democratici e i diritti individuali.

Punti chiave

• I titolari del trattamento devono notificare alla propria autorità di controllo entro 72 ore dal momento in cui sono venuti a conoscenza di una violazione, a meno che sia improbabile che la violazione comporti rischi per i diritti e le libertà delle persone
• Se la violazione comporta un rischio elevato per le persone, queste devono essere notificate direttamente senza ingiustificato ritardo
• Le notifiche devono descrivere la natura della violazione, le categorie e il numero approssimativo di persone e registri interessati, e le misure adottate per affrontarla
• I responsabili del trattamento devono notificare immediatamente i titolari del trattamento al momento della scoperta di una violazione affinché i titolari possano rispettare le proprie scadenze di notifica
• Le organizzazioni devono mantenere la documentazione di tutte le violazioni, comprese quelle non segnalate, per dimostrare la conformità
• Le sanzioni per mancata notifica possono raggiungere i 10 milioni di euro o il 2% del fatturato annuo globale, a seconda di quale importo sia superiore

Notifica di violazione dei dati vs. Avviso di trasparenza

Sebbene entrambi comportino obblighi di divulgazione, la notifica di violazione dei dati e gli avvisi di trasparenza hanno scopi diversi. Una notifica di violazione dei dati è un requisito reattivo, determinato da un incidente, che si attiva quando la sicurezza dei dati personali è compromessa. Deve essere comunicata alle autorità di controllo entro 72 ore e alle persone interessate quando esiste un rischio elevato.

Un avviso di trasparenza (come l'informativa sulla privacy richiesta dagli articoli 13-14 del GDPR o l'avviso di trasparenza per la pubblicità politica ai sensi del Regolamento 2024/900) è un obbligo proattivo e continuativo di informare le persone su come vengono trattati i loro dati prima o al momento della raccolta. Gli avvisi di trasparenza sono preventivi e informativi; le notifiche di violazione sono correttive e urgenti.

Termini correlati

• Dati personali
• Autorità per la protezione dei dati
• Titolare del trattamento
• Responsabile del trattamento
• Conformità al GDPR
• Tecniche di profilazione
• Misure di sicurezza
• Autorità di controllo
• Informativa sulla privacy
• Diritti degli interessati