Comunicazione del data breach agli interessati (art. 34)

Scopri quando è obbligatorio informare gli interessati in caso di data breach e quali elementi deve contenere la comunicazione.

In breve — Quando un data breach può comportare un rischio elevato per i diritti e le libertà delle persone, il titolare deve comunicare la violazione direttamente agli interessati, senza ingiustificato ritardo e con un linguaggio chiaro (art. 34 del GDPR). La comunicazione serve a permettere alle persone di proteggersi — per esempio cambiando le password o bloccando una carta. Non è dovuta in alcuni casi tassativi: se i dati erano cifrati, se il rischio è stato neutralizzato successivamente, o se la comunicazione individuale richiederebbe sforzi sproporzionati (in tal caso si procede con una comunicazione pubblica).

1. Quando il data breach va comunicato agli interessati

In caso di violazione dei dati personali, il titolare del trattamento non deve solo valutare l’obbligo di notifica al Garante privacy, ma anche verificare se sussiste l’obbligo di comunicare l’incidente alle persone fisiche i cui dati sono stati compromessi. Questa comunicazione diretta agli interessati rappresenta una misura di trasparenza prevista in specifici casi dal Regolamento (UE) 2016/679.

In questo articolo analizziamo quando e come va effettuata la comunicazione agli interessati, sulla base dell’art. 34 del GDPR. In particolare, vedremo quali sono i presupposti per cui la comunicazione è obbligatoria, che cosa deve contenere, e in quali casi invece può essere omessa. L’obiettivo è aiutare imprese e pubbliche amministrazioni a muoversi con consapevolezza in caso di data breach.

2. Che cos’è la comunicazione di una violazione dei dati personali

La comunicazione di una violazione dei dati personali è l’atto con cui il titolare del trattamento informa, in modo diretto, le persone fisiche i cui dati sono stati coinvolti in un incidente di sicurezza. L’obbligo è previsto dall’art. 34 del Regolamento (UE) 2016/679 (GDPR) e si attiva solo al verificarsi di determinate condizioni che verranno analizzate nei prossimi paragrafi.

L’obiettivo della comunicazione è rendere l’interessato consapevole del rischio e metterlo nelle condizioni di tutelarsi, ad esempio cambiando le proprie credenziali, attivando strumenti di protezione dell’identità o adottando altre precauzioni. Per questa ragione, il contenuto della comunicazione deve essere chiaro, tempestivo e facilmente comprensibile.

3. Chi è responsabile della comunicazione agli interessati

La comunicazione agli interessati in caso di violazione dei dati personali è un obbligo che ricade sul titolare del trattamento. È il titolare, infatti, a dover valutare se la violazione comporti un rischio elevato per i diritti e le libertà delle persone fisiche, e, se necessario, adottare tutte le misure per informarle in modo chiaro e tempestivo.

Il titolare del trattamento è il soggetto che decide finalità e modalità del trattamento dei dati personali. Può essere una persona fisica, un ente pubblico o un’impresa privata. Anche se l’incidente è stato causato da un responsabile esterno o da un fornitore, resta il titolare a dover gestire la comunicazione e rispondere del rispetto degli obblighi previsti dal GDPR.

4. La comunicazione di data breach è sempre obbligatoria?

La comunicazione agli interessati non è sempre obbligatoria. L’art. 34 del GDPR stabilisce che essa va effettuata solo se la violazione comporta un rischio elevato per i diritti e le libertà delle persone fisiche. Spetta quindi al titolare del trattamento valutare caso per caso se l’incidente richiede un’informativa diretta agli interessati.

Questa valutazione tiene conto di diversi fattori:

• la natura della violazione, il tipo di dati personali compromessi (ad esempio, dati sanitari o identificativi),
• l’estensione della violazione in termini di numero di persone coinvolte,
• le possibili conseguenze negative come furti d’identità, danni economici o lesioni alla reputazione.

Solo quando si verifica un rischio concreto e rilevante, la comunicazione diventa un obbligo.

5. Entro quando deve essere inviata la comunicazione agli interessati?

La comunicazione di una violazione dei dati personali agli interessati deve essere effettuata senza ingiustificato ritardo, non appena il titolare del trattamento accerti che il data breach comporta un rischio elevato per i diritti e le libertà delle persone fisiche. L’urgenza è motivata dal fatto che la comunicazione serve a consentire agli interessati di adottare tempestivamente misure di protezione.

Se al momento dell’incidente non sono ancora disponibili tutte le informazioni necessarie, il titolare deve comunque attivarsi e completare la comunicazione non appena acquisiti gli elementi utili. Il GDPR non prevede un termine rigido (come nel caso della notifica al Garante), ma l’espressione “senza ritardo” implica un obbligo immediato, compatibile con le circostanze e le dimensioni dell’evento.

6. A chi deve essere inviata la comunicazione di una violazione dei dati personali?

Quando la violazione dei dati personali comporta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento è tenuto a informare direttamente ciascun interessato coinvolto. L’obbligo, previsto dall’art. 34 del GDPR, impone una comunicazione mirata, chiara e tempestiva, indirizzata a chi ha subito la compromissione dei propri dati.

Rientrano tra le violazioni rilevanti non solo gli accessi non autorizzati, ma anche la perdita, la distruzione o la modifica illecita dei dati. Un esempio tipico è il furto di informazioni tramite attacco informatico, come accade quando un hacker accede ai dati delle carte di credito dei clienti di una società. In questi casi, la comunicazione è fondamentale per consentire agli interessati di proteggersi e reagire prontamente.

7. Come deve essere inviata una comunicazione di violazione dei dati personali?

La comunicazione agli interessati deve avvenire in forma diretta, utilizzando canali idonei come posta elettronica, SMS o comunicazione postale. L’obiettivo è raggiungere efficacemente ogni persona coinvolta nella violazione. Solo quando questo richiederebbe uno sforzo sproporzionato, è ammesso il ricorso a una comunicazione pubblica, ad esempio attraverso banner sul sito istituzionale o annunci visibili sulla stampa.

È essenziale che la comunicazione sia distinta da qualsiasi altra informazione commerciale, come newsletter o avvisi generici. Il messaggio deve essere dedicato, chiaro e riconoscibile, così da garantire trasparenza e permettere agli interessati di adottare misure tempestive per tutelarsi. Ogni ambiguità o confusione nella comunicazione può vanificare la finalità di protezione prevista dal GDPR.

8. Cosa deve contenere una comunicazione di una violazione dei dati personali?

Il titolare del trattamento deve fornire almeno le seguenti informazioni:

• una descrizione della natura della violazione;
• il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto;
• una descrizione delle probabili conseguenze della violazione;
• una descrizione delle misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione e anche, se del caso, per attenuarne i possibili effetti negativi.

Il titolare del trattamento può scegliere di fornire informazioni supplementari rispetto a quanto richiesto qui e dovrebbe fornire consulenza specifica alle persone fisiche sul modo in cui proteggersi dalle possibile conseguenze negative (ad esempio reimpostando le password in caso di compromissione delle credenziali di accesso). Gli stessi elementi confluiscono nel registro delle violazioni, da tenere in ogni caso.

9. Quando non è obbligatoria la comunicazione della violazione agli interessati

Anche quando una violazione dei dati personali presenta un rischio elevato per i diritti e le libertà delle persone, il titolare del trattamento può essere esonerato dall’obbligo di comunicazione individuale, purché ricorrano determinate condizioni tassativamente previste dall’art. 34 del GDPR. La normativa riconosce che, in casi particolari, il rischio per gli interessati può essere neutralizzato o la comunicazione resa oggettivamente impossibile.

In particolare, l’obbligo non sussiste se i dati erano protetti da misure di sicurezza efficaci, come la crittografia, che li rendono inutilizzabili da soggetti non autorizzati, oppure se il titolare è intervenuto tempestivamente adottando misure che eliminano il rischio residuo. Infine, quando l’identificazione o il contatto diretto con gli interessati richiede uno sforzo sproporzionato, la legge consente di ricorrere a una comunicazione pubblica o equivalente, purché garantisca un’efficace informazione.

10. Come ti assiste lo Studio Legale Calzoni

La comunicazione agli interessati è una decisione delicata: va presa in fretta, motivata e documentata, perché il Garante può comunque ritenerla necessaria e, in caso contrario, esercitare i propri poteri sanzionatori. Una valutazione generica non basta.

Lo Studio Legale Calzoni offre consulenza privacy e gestione dei data breach a imprese e pubbliche amministrazioni: valutiamo il rischio, prepariamo il testo della comunicazione agli interessati e curiamo, prima ancora, la notifica della violazione al Garante e la documentazione delle scelte compiute. Muoversi in modo prudente e ben argomentato è sempre preferibile.

Domande frequenti

Quando va comunicato un data breach agli interessati? Quando la violazione può comportare un rischio elevato per i diritti e le libertà delle persone (art. 34 GDPR): in quel caso il titolare deve informare direttamente gli interessati, senza ingiustificato ritardo.

La comunicazione agli interessati è sempre obbligatoria? No. È dovuta solo in caso di rischio elevato e non è richiesta se i dati erano cifrati, se il titolare ha adottato dopo misure che eliminano il rischio, o se la comunicazione individuale richiederebbe sforzi sproporzionati (allora si procede con una comunicazione pubblica).

Chi deve comunicare il data breach agli interessati? Il titolare del trattamento, anche quando la violazione è stata causata da un fornitore o responsabile esterno.

Cosa deve contenere la comunicazione agli interessati? La natura della violazione, i contatti del DPO o di un punto di contatto, le probabili conseguenze e le misure adottate per porvi rimedio e attenuarne gli effetti, con eventuali consigli pratici (per esempio cambiare le password).

Come va inviata la comunicazione? In forma diretta e dedicata (email, SMS, posta), distinta da qualsiasi messaggio commerciale. La comunicazione pubblica è ammessa solo quando quella individuale richiederebbe sforzi sproporzionati.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.