Quali informazioni deve contenere la notifica di una violazione dei dati all'IFPDT?
La notifica all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) deve riportare il tipo di violazione, il momento e la durata se possibile, le categorie e il numero approssimativo dei dati e delle persone interessate se possibile, le conseguenze e gli eventuali rischi, le misure adottate o previste e i nomi e dati di una persona di contatto. Se non tutte le informazioni sono disponibili subito, quelle mancanti devono essere fornite quanto prima.
- il tipo di violazione;
- se possibile, il momento e la durata;
- se possibile le categorie e il numero approssimativo dei dati personali interessati;
- se possibile, le categorie e il numero approssimativo delle persone interessate;
- le conseguenze, compresi eventuali rischi, per le persone interessate;
- le misure adottate o previste per eliminare il difetto e ridurne le conseguenze, inclusi gli eventuali rischi;
- i nomi e i dati di una persona di contatto.
L’Ordinanza sulla protezione dei dati (OPDa) prevede che, se il titolare del trattamento non è in grado di comunicare contemporaneamente tutte le informazioni, fornisce quanto prima le informazioni mancanti. La notifica può quindi essere completata successivamente, ma deve già contenere gli elementi disponibili e poi essere integrata senza indugio con quelli mancanti. Occorre verificare in particolare quali dati sono già accertati al momento della notifica e quali devono ancora essere precisati, mantenendo la distinzione tra informazioni certe e informazioni indicate come approssimative quando la norma lo prevede.[1]
La stessa ordinanza disciplina anche gli obblighi collegati alla violazione. Se il titolare del trattamento è tenuto a informare la persona interessata, deve comunicarle in una lingua semplice e comprensibile almeno il tipo di violazione, le conseguenze compresi eventuali rischi, le misure adottate o previste per eliminare il difetto e ridurne le conseguenze, inclusi gli eventuali rischi, nonché i nomi e i dati di una persona di contatto. Inoltre il titolare del trattamento documenta le violazioni: la documentazione illustra i fatti legati agli eventi, le loro conseguenze e i provvedimenti adottati, e deve essere conservata per almeno due anni dalla notifica.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]