Per acquisire una conoscenza circostanziata e autentica del GDPR è imprescindibile lo studio di molteplici questioni. È necessario approfondire cosa sia la privacy, dalle sue radici (il principio del “right to be let alone”, il diritto, quindi, di ‘essere lasciati soli’), fino ai moderni sviluppi in termini di trasparenza e dinamicità. Ed è fondamentale comprendere quali siano le normative che si affiancano al GDPR per una sua corretta interpretazione, e avere contezza delle conseguenze di un trattamento dei dati personali deficitario della giusta prudenza.

Il data breach (nel testo italiano del GDPR si parla di violazione dei dati personali) è quindi un punto nodale nell’ambito della privacy, e richiede premure costanti nelle fasi preliminari del trattamento, nel corso dello stesso, nel caso in cui si verifichi effettivamente una violazione dei dati, e successivamente ad essa.

Prima di entrare nel merito dell’argomento, che sarà esaminato principalmente dal punto di vista degli adempimenti necessari in caso di data breach, è bene fornire una definizione che renda più accessibile il significato. Si intende per data breach una breccia nella sicurezza – che può essere conseguente a un evento accidentale o a un atto illecito – che comporti la distruzione, la perdita, la modifica, la divulgazione senza autorizzazione dei dati personali conservati, trasmessi o trattati con qualunque modalità.

Il testo normativo, tuttavia, offre significativi spunti di riflessione già nel considerando n.85, dove si precisa che le conseguenze di una violazione non promuovono solo riflessioni sull’effettiva sicurezza del sistema aziendale, ma ben possono ledere direttamente gli interessati i cui dati risultano violati.

In particolare si parla di danni fisici, materiali o immateriali, si pensi a eventuali discriminazioni (qualora venissero sottratti dati sensibili inerenti all’origine etnica, alle convinzioni religiose, allo stato di salute, oppure alle appartenenze sindacali o alla vita sessuale), a furti di identità, a possibili danni economici e alla reputazione.

Nulla di astratto quindi, i profili di danno emergenti da un simile evento sono estremamente rilevanti e dalle conseguenze imprevedibili, tenuto anche conto della estrema facilità di diffusione delle informazioni nell’era in cui si discute del diritto su internet.

Tutto questo ben giustifica il forte apparato sanzionatorio del GDPR e una maggiore attenzione alle misure di sicurezza da adottare. Se, infatti, un tempo le informazioni erano rintracciabili con difficoltà e vi avevano accesso pochi soggetti, ad oggi, nell’epoca in cui tutto è virale e facilmente raggiungibile, la diffusione delle informazioni è non solo istantanea, ma anche capillare ed estremamente accessibile. Ma uno dei risvolti della medaglia è la massimizzazione delle conseguenze negative dovute a eventi quali il data breach.

Ponendo il caso che accada una violazione dei dati personali, quindi, quali sono i giusti passaggi da seguire? Sulla questione vengono in soccorso sia lo stesso GDPR, che il WP29 (oramai non più operativo) con delle preziose linee guida. Innanzitutto, occorre specificare che il Regolamento 679/2016, pone, tra le altre cose, in capo al titolare un obbligo di notifica all’autorità di controllo (in Italia è il Garante per la protezione dei dati personali) da assolversi nell’arco delle 72 ore successive a quando se ne viene a conoscenza, salvo alcune situazioni particolari circoscrivibili a quando risulta improbabile che la violazione dei dati comporti un rischio per le libertà e i diritti delle persone fisiche. Qualora la tempistica, ex art.33, non dovesse essere rispettata, è necessario che la notifica sia corredata dai motivi del ritardo.

Il testo normativo richiama anche la figura del responsabile del trattamento, che ha l’obbligo di informare in maniera tempestiva, quindi senza ingiustificato ritardo, il titolare. Quest’ultimo è chiamato altresì a documentare qualsiasi violazione dei dati personali, chiarendo quali siano state le circostanze in cui si è verificata, le conseguenze e le tutele adottate per porre rimedio alla situazione. La suddetta documentazione risulterà necessaria al Garante per verificare il rispetto delle disposizioni di cui al Regolamento UE 679/2016.

Il contenuto della notifica è stabilito nei suoi elementi essenziali per garantirne la validità, dall’art.33 al paragrafo 3, dove si specifica che è necessario fornire al Garante le seguenti informazioni:

–      una descrizione della natura della violazione dei dati personali, qualora possibile, le categorie e il numero approssimativo, sia degli interessati, sia di registrazioni dei dati personali colpiti dal data breach;

–      Il nome e i dati di contatto del DPO o di un altro soggetto in grado di fornire ulteriori informazioni sull’accaduto;

–      la descrizione delle probabili conseguenze della violazione dei dati;

–      la descrizione delle misure utilizzate dal titolare, o che lo stesso si propone di adottare per rimediare a quanto avvenuto, ovvero per arginarne le conseguenze negative.

Date le tempistiche stringenti e la necessaria fase di indagine conseguente ad un data breach, è probabile che non sia possibile fornire tutte le informazioni necessarie contestualmente alla notifica, in tal caso è possibile integrare le informazioni mancanti in un momento successivo, purché vi si provveda senza ingiustificato ritardo.

In pieno accordo con quanto si evince dal GDPR e dal considerando n.87, l’autorità di controllo una volta venuta a conoscenza del data breach, oppure in seguito ai controlli conseguenti all’evento qualora emergessero violazioni del Regolamento, potrà esercitare i propri poteri, compresi quelli correttivi, che ben possono concretizzarsi nelle tanto temute sanzioni ex art.83. Anche la mancata notifica è a pieno titolo una violazione.

Il GDPR, inoltre, impone anche una comunicazione agli interessati che il titolare dovrà effettuare senza ingiustificato ritardo qualora vi sia un elevato rischio per i diritti e le libertà delle persone fisiche.

Il contenuto della comunicazione, nei suoi elementi essenziali, deve comprendere:

–       la natura della violazione;

–       Il nome e i riferimenti di contatto del responsabile per la protezione dei dati, ovvero di un altro soggetto in grado di fornire ulteriori informazioni sull’accaduto;

–       una descrizione delle probabili conseguenze connesse al data breach;

–       la descrizione delle misure che il titolare ha utilizzato o si propone di adottare per rimediare a quanto avvenuto, e nel caso per limitare i possibili effetti negativi.

Si specifica, altresì, che tale comunicazione deve essere redatta avvalendosi di un linguaggio semplice e chiaro, quindi accessibile anche a soggetti non pratici della norma.

Il tenore letterale delle disposizioni fa ben comprendere, quindi, che la comunicazione non è obbligatoria in tutti i casi, ma solo in determinate situazioni, valutate dal titolare di volta in volta, conformemente al principio dell’accountability.

Scendendo nel dettaglio, l’art. 34, par. 3 fornisce delle indicazioni per definire i casi in cui non è necessario procedere ad informare gli interessati, questo si verifica quando:

–       Il titolare del trattamento ha adottato misure tecniche e organizzative di protezione adeguate in riferimento anche ai dati personali oggetto della violazione, ci si riferisce, quindi, a tecniche volte a rendere i dati personali incomprensibili a coloro che non siano autorizzati ad accedervi, un esempio potrebbe essere quello della cifratura;

–       Il titolare ha provveduto ad adottare successivamente misure volte al contenimento del rischio, scongiurando l’eventualità che lo stesso raggiungesse livelli elevati riguardo le libertà e i diritti degli interessati;

–       la comunicazione richiede uno sforzo sproporzionato. In tale eventualità, l’obbligo di rendere edotti gli interessati può essere assolto mediante una comunicazione pubblica o con mezzi analoghi, purché garantiscano la medesima efficacia.

Tuttavia il Garante, una volta valutata la situazione e definito come elevato il livello di rischio causato dal data breach, ben potrà imporre al titolare di dare luogo alla comunicazione.

Una disciplina abbastanza articolata quindi, il cui rispetto è fondamentale, prima che per evitare sanzioni soprattutto per garantire la sicurezza degli interessati e per preservare la loro fiducia nei confronti del titolare.