Ventiquattrore Avvocato
LA QUESTIONE
Che cosa si intende per data breach e quando sorgono, in capo al titolare, l’obbligo di notifica al Garante e quello di comunicazione agli interessati? Come si coordinano oggi gli obblighi del GDPR con le segnalazioni di incidenti previste dalla disciplina NIS2, dalla legge n. 90/2024 e dal Regolamento DORA? E che cosa cambierebbe con il “Digital Omnibus”? Quali tutele, davanti al Garante e davanti al giudice, sono attivabili dopo una violazione, e quale giudice e quale rito vanno scelti per ciascuna? Il titolare destinatario di reclami per una violazione dei dati può accedere ai fascicoli del Garante, compresi gli allegati prodotti dai reclamanti? Gli screenshot di una chat WhatsApp sono “corrispondenza” sottratta all’ostensione, a differenza delle fotografie delle schermate del portale istituzionale del titolare?
Premessa sistematica
Col GDPR la sicurezza dei dati è diventata un obbligo di adeguatezza al rischio, da dimostrare: il titolare deve adottare misure tecniche e organizzative adeguate (artt. 24 e 32), deve saper riconoscere tempestivamente una violazione e deve dimostrare, in ottica di accountability (art. 5, par. 2), di averla gestita correttamente. La disciplina del data breach si colloca all’incrocio di tre piani:
- prevenzione,
- reazione (notifica, comunicazione, misure correttive),
- contenzioso, amministrativo e civile, che dalla violazione può originare.
Nozione e tipologie di violazione
Secondo l’impostazione dell’EDPB, consolidata nelle Linee guida 9/2022 sulla notifica delle violazioni...
