GDPR Advanced: sicurezza e notifica al Garante delle violazioni dei dati

Le misure di sicurezza devono “garantire un livello di sicurezza adeguato al rischio” del trattamento (art. 32, paragrafo 1); in questo senso, la lista di cui al paragrafo 1 dell´art. 32 è una lista aperta e non esaustiva (“tra le altre, se del caso”). Si raccomanda l’adozione di specifici codici di condotta o di schemi di certificazione per attestare l’adeguatezza delle misure di sicurezza adottate.

Inoltre, come ormai noto, a partire dal 25 maggio 2018, tutti i titolari devono notificare all’autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 ore e comunque “senza ingiustificato ritardo”, ma soltanto se ritengono probabile che da tale violazione derivino rischi per i diritti e le libertà degli interessati. Pertanto, la notifica all’autorità dell’avvenuta violazione non è obbligatoria, essendo subordinata alla valutazione del rischio per gli interessati che spetta, ancora una volta, al titolare. Se la probabilità di tale rischio è elevata, si deve informare della violazione anche gli interessati, sempre “senza ingiustificato ritardo”.