Cosa è successo? Avete appena subito una violazione
Pirateria informatica, perdita di un computer portatile, email inviata al destinatario sbagliato, database esposto, ransomware: qualsiasi violazione di dati personali — distruzione, perdita, alterazione, divulgazione non autorizzata — attiva obblighi immediati per l'azienda responsabile. Il punto di partenza dei termini è la presa di conoscenza: ogni ora conta.
Il termine di 72 ore: cosa fare, nell'ordine
Dal GDPR (articolo 33), la violazione deve essere notificata alla CNIL entro 72 ore dalla presa di conoscenza, quando è suscettibile di comportare un rischio per i diritti delle persone. Entro questo termine: qualificare i fatti, identificare i dati interessati (categorie, volume, sensibilità), valutare il rischio, preparare le misure correttive. Una notifica incompleta entro le 72 ore è meglio di una notifica perfetta troppo tardiva: può essere completata successivamente.
Informare le persone interessate
L'articolo 34 aggiunge un secondo obbligo: quando il rischio è elevato (dati sanitari, identificativi bancari, dati che consentono l'usurpazione d'identità), le persone devono essere informate individualmente e senza ritardo — tramite email distinta dalla mailing commerciale, spiegando la natura della violazione, le possibili conseguenze e le misure da adottare (cambio di password, vigilanza bancaria). L'eccezione del rischio reso improbabile da misure di cifratura efficace deve essere documentata.
In pratica: il registro e la procedura interna
Qualsiasi violazione — anche non notificata perché senza rischio — deve essere registrata in un registro interno (fatti, effetti, misure). È questo registro che la CNIL richiede in caso di controllo. Le aziende che hanno una procedura scritta (chi fa cosa, modelli di notifica, contatti del DPO) rispettano le 72 ore; le altre improvvisano e si auto-sanzionano.
E se non si rispetta?
Inadempimento all'obbligo di notifica: fino a 10 milioni di euro o 2% del fatturato mondiale, aggravato se la violazione stessa rivela un difetto di sicurezza (password condivise, assenza di cifratura, aggiornamenti trascurati). La CNIL sanziona regolarmente anche l'assenza di registro.
Per le aziende come per le vittime: l'Avvocato Zakine, avvocato RGPD e CNIL ad Antibes, prepara le procedure di notifica, accompagna i controlli e difende le persone vittime di violazione di dati.
