Quando bisogna notificare all'IFPDT una violazione della sicurezza dei dati?
La notifica all’IFPDT va fatta quanto prima quando una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Il responsabile del trattamento deve informare quanto prima il titolare del trattamento di ogni violazione.
Il criterio decisivo è il rischio: il titolare del trattamento notifica quanto prima all’IFPDT ogni violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Non ogni incidente richiede quindi automaticamente una notifica all’IFPDT; occorre verificare se, in base alle circostanze, la violazione presenta verosimilmente quel livello di rischio elevato. La regola riguarda il titolare del trattamento. Se interviene un responsabile del trattamento, quest’ultimo non notifica direttamente all’IFPDT in base a questa disposizione, ma informa quanto prima il titolare del trattamento su ogni violazione della sicurezza dei dati, così che il titolare possa valutare se sussiste l’obbligo di notifica.[1]
Quando la notifica è dovuta, deve contenere almeno tre elementi: il tipo di violazione della sicurezza dei dati, le sue conseguenze e le misure disposte o previste. La legge disciplina anche l’informazione alla persona interessata: il titolare del trattamento la informa sulla violazione se ciò è necessario per proteggerla o se lo esige l’IFPDT. Questa informazione può però essere limitata, differita o omessa nei casi previsti dalla legge, in particolare se sussiste uno dei motivi richiamati dall’articolo 26 capoversi 1 lettera b o 2 lettera b oppure un obbligo legale di serbare il segreto, se l’informazione è impossibile o richiede un onere sproporzionato, oppure se è garantita in modo equivalente con una comunicazione pubblica. Prima di agire, va quindi verificato sia il livello di rischio sia il contenuto minimo della notifica e l’eventuale obbligo di informare la persona interessata.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Occorre verificare la disposizione attualmente in vigore e ogni modifica successiva prima di agire.[1]