Nuovo Modello europeo EDPB notifica data breach: osservazioni entro il 5 agosto
Il Comitato europeo per la protezione dei dati – EDPB – ha avviato una consultazione pubblica sul nuovo modello europeo di notifica dei data breach.
Il documento è destinato principalmente alle Autorità nazionali per la protezione dei dati e dovrebbe essere implementato attraverso strumenti informatici dedicati. L’obiettivo è rendere più uniforme e guidata la raccolta delle informazioni richieste alle organizzazioni quando si verifica una violazione di dati personali.
La consultazione resterà aperta fino alle ore 23:59 del 5 agosto 2026.
Un modello comune per le Autorità europee
Il modello predisposto dall’EDPB introduce una struttura comune che comprende valori predefiniti, indicazioni operative e campi condizionali.
Questi ultimi permetteranno di richiedere determinate informazioni solo quando risultano effettivamente necessarie in base alle caratteristiche della violazione. La compilazione potrebbe quindi diventare più chiara, coerente e meno dispersiva.
Il modello è stato pensato soprattutto per essere integrato negli strumenti digitali utilizzati dalle Autorità di controllo dei diversi Stati membri.
Al termine della consultazione, l’EDPB valuterà le osservazioni ricevute e stabilirà le tempistiche per la futura implementazione pratica da parte delle Autorità nazionali.
Nella fase attuale, quindi, il nuovo modello non sostituisce i portali o le procedure nazionali già utilizzati per notificare le violazioni.
Gli obblighi del GDPR restano invariati
La proposta non modifica gli obblighi previsti dall’articolo 33 del GDPR.
Il titolare del trattamento deve notificare una violazione all’Autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che il data breach sia improbabile che presenti un rischio per i diritti e le libertà delle persone.
La notifica deve contenere almeno:
- la natura della violazione;
- le categorie e il numero approssimativo degli interessati coinvolti;
- le categorie e il numero approssimativo dei dati violati;
- i contatti del Responsabile della protezione dei dati o di un altro referente;
- le probabili conseguenze della violazione;
- le misure adottate o previste per contenerne gli effetti.
Quando non è possibile fornire tutte le informazioni entro le prime 72 ore, il GDPR consente di trasmetterle successivamente in più fasi, senza ulteriori ritardi ingiustificati.
Se la violazione può comportare un rischio elevato per le persone coinvolte, può inoltre diventare necessaria la comunicazione agli interessati prevista dall’articolo 34 del GDPR.
Cosa potrebbe cambiare per aziende ed enti
L’adozione di un modello comune potrebbe ridurre le differenze procedurali tra i diversi Paesi europei e facilitare la gestione delle violazioni che interessano più Stati membri.
Una struttura digitale più guidata potrebbe aiutare le organizzazioni a individuare con maggiore precisione le informazioni necessarie e a ridurre errori, omissioni o richieste successive di integrazione.
Il nuovo modello, tuttavia, non sostituirà la valutazione del rischio effettuata dal titolare del trattamento. La decisione di notificare o meno una violazione continuerà a richiedere un’analisi documentata delle circostanze, dei dati coinvolti e delle possibili conseguenze per gli interessati.
Le procedure devono essere pronte prima dell’incidente
La finestra delle 72 ore rende indispensabile preparare in anticipo ruoli, contatti e flussi decisionali.
Aziende, enti pubblici e professionisti dovranno verificare:
- come vengono segnalati internamente gli incidenti informatici;
- chi deve coinvolgere il DPO e l’Autorità di controllo;
- quali informazioni devono essere raccolte dal personale e dai fornitori;
- come vengono documentate le decisioni di notificare o non notificare;
- se i responsabili esterni del trattamento (art. 28 GDPR) sono tenuti a comunicare tempestivamente eventuali violazioni;
- se esiste un registro aggiornato dei data breach, compresi quelli non notificati.
Il nuovo modello europeo non rappresenta quindi un ulteriore adempimento già operativo, ma indica chiaramente la direzione intrapresa: notifiche più uniformi, digitali e strutturate.
Il termine delle 72 ore, invece, resta invariato.
Fonte: European Data Protection Board – Regolamento europeo sulla protezione dei dati
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
