1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.
Articolo 33 GDPR - Notifica di una violazione dei dati personali all’autorità di controllo
2. Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.
3. La notifica di cui al paragrafo 1 deve almeno:
a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
c) descrivere le probabili conseguenze della violazione dei dati personali;
d) descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
4. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.
5. Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all’autorità di controllo di verificare il rispetto del presente articolo.
Domande frequenti
Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.
Il paragrafo 1 impone la notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare del trattamento è venuto a conoscenza della violazione, all’autorità di controllo competente a norma dell’articolo 55. Qualora la notifica sia effettuata dopo 72 ore, essa deve essere corredata dei motivi del ritardo.
Sì. Il paragrafo 1 esonera il titolare del trattamento quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. La valutazione ruota attorno al rischio per le persone fisiche, non attorno alla dimensione o alla causa dell’incidente, e il paragrafo 5 richiede comunque che la violazione sia documentata internamente.
In base al paragrafo 2, il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali. Il presente articolo non impone al responsabile del trattamento di notificare esso stesso l’autorità di controllo, poiché l’obbligo di notifica verso l’autorità spetta al titolare del trattamento.
Il paragrafo 3 fissa un contenuto minimo. La notifica deve descrivere la natura della violazione, comprese ove possibile le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione, comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto, descrivere le probabili conseguenze e descrivere le misure adottate o di cui si propone l’adozione per porre rimedio alla violazione e attenuarne i possibili effetti negativi.
Sì. Il paragrafo 4 consente di fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo, qualora non sia possibile fornirle contestualmente. Il titolare del trattamento non è quindi legittimato ad attendere la conclusione dell’indagine prima di effettuare una prima notifica entro il termine di 72 ore.