Chi deve notificare una violazione dei dati avvenuta presso il responsabile del trattamento?
La notifica all’IFPDT spetta al titolare del trattamento, non al responsabile del trattamento. Se la violazione avviene presso il responsabile, quest’ultimo deve informare quanto prima il titolare del trattamento; poi è il titolare a notificare all’IFPDT la violazione che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata.
La regola attribuisce l’obbligo di notifica all’IFPDT al titolare del trattamento. Questo vale anche quando l’incidente si verifica presso il responsabile del trattamento: il responsabile non sostituisce il titolare nella notifica all’autorità, ma deve informare quanto prima il titolare del trattamento su ogni violazione della sicurezza dei dati. Il titolare notifica quanto prima all’IFPDT ogni violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata.[1]
Nel fare la notifica, il titolare del trattamento deve menzionare almeno il tipo di violazione della sicurezza dei dati, le sue conseguenze e le misure disposte o previste. Inoltre, il titolare informa la persona interessata sulla violazione se ciò è necessario per proteggerla o se lo esige l’IFPDT. La legge prevede anche casi in cui il titolare può limitare o differire tale informazione o rinunciarvi; tra questi figurano determinati motivi legali, l’impossibilità o un onere sproporzionato, oppure una comunicazione pubblica equivalente. Per applicare correttamente la regola, occorre quindi verificare sia chi riveste il ruolo di titolare, sia se la violazione comporti verosimilmente un rischio elevato, sia quali informazioni minime debbano essere incluse nella notifica.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]