Il termine data breach indica ogni violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati in archivi cartacei o in archivi informatici. La gestione del data breach richiede la presenza di una procedura di studio che definisca i principi e le azioni per gestire la violazione dei dati personali, così da poter adempiere agli obblighi relativi alla annotazione dell’evento nel registro delle violazione e della eventuale notifica alla Autorità di Controllo e di comunicazione ai singoli interessati, obblighi previsti agli art. 33 e 34 del Regolamento.

Sulla base delle dimensioni dell’organizzazione sarà necessario formare un team, che dovrà essere avvisato in caso, anche solo, di una presunta violazione di dati personali. Questo team deve garantire la prontezza necessaria fornendo risposte immediate, efficaci ed esperte a qualsiasi sospetta o effettiva violazione dei dati personali. Il team deve essere composto dal Titolare del Trattamento, che si avvale di un gruppo multidisciplinare di persone competenti nel settore IT e legale (solitamente l’amministratore di sistema  o comunque il referente per la materia) e il Dpo se nominato, che possono anche essere esterne all’organizzazione. Queste figure avranno il compito di dare un supporto al Titolare sulla valutazione del grado di probabilità che la violazione dei dati presenti un rischio effettivo per i diritti e le libertà delle persone interessate e di conseguenza per decidere:

  • le eventuali misure tecniche ed organizzative assunte o da assumere per il contenimento della violazione o per prevenire in futuro violazioni simili;
  • se è necessario effettuare la notifica art. 33 Regolamento all’Autorità di Controllo (Garante per la protezione dei dati) entro le 72 ore dalla scoperta della violazione;
  • se è necessario effettuare la comunicazione agli interessati e stabilire quale possa essere il mezzo da utilizzare (comunicazione scritta, comunicazione pubblica o altro) e l’investimento da intraprendere;
  • inserire nel registro delle violazioni dei dati, la descrizione violazione, con tutti i dati richiesti dall’art. 33 del Regolamento, in ogni caso, anche se dalla valutazione emergesse che non serve notificare al Garante e comunicare agli interessati la violazione.