Sicurezza, violazioni e notifica degli incidenti

Sicurezza del trattamento

L’articolo 32 richiede misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione e della natura, dell’oggetto, del contesto e delle finalità del trattamento. Ad esempio la pseudonimizzazione e la cifratura; la capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza dei sistemi; la capacità di ripristinare tempestivamente l’accesso ai dati dopo un incidente; e la verifica regolare dell’efficacia delle misure.

Violazioni dei dati personali

Una violazione dei dati personali è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati. Il titolare la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone (articolo 33). Se è probabile che presenti un rischio elevato, deve comunicarla anche agli interessati senza ingiustificato ritardo (articolo 34). Il responsabile del trattamento informa il titolare senza ingiustificato ritardo. Ogni violazione, notificata o no, va documentata.

Regimi di notifica paralleli

Un singolo incidente può far scattare più termini. Con NIS2, i soggetti essenziali e importanti inviano un preallarme di un incidente significativo entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. DORA prevede una propria segnalazione degli incidenti gravi connessi alle TIC per le entità finanziarie, e il Cyber Resilience Act impone ai fabbricanti di notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la piattaforma unica di segnalazione dell’ENISA, a partire da un preallarme entro 24 ore. Il RPD deve accertarsi che il piano di risposta agli incidenti mappi ogni termine applicabile e chi decide.