L’EDPB propone un modello unico dell’UE per le notifiche delle violazioni dei dati

Il Comitato europeo per la protezione dei dati ha approvato la versione 1.0 di un modulo comune per la notifica delle violazioni dei dati personali. La proposta è sottoposta a consultazione pubblica fino al 5 agosto 2026, dopodiché si prevede che l’EDPB decida quando le autorità nazionali di controllo inizieranno a utilizzarla concretamente, secondo Aisa International.

L’iniziativa mira a sostituire i diversi formati di notifica utilizzati dalle autorità per la protezione dei dati negli Stati membri dell’UE. Finora le organizzazioni hanno dovuto confrontarsi con strutture e requisiti differenti nella notifica delle violazioni, anche nei rapporti con l’Ufficio ceco per la protezione dei dati personali. Un modulo condiviso fornirebbe ai titolari del trattamento un unico quadro per presentare i dettagli di un incidente.

Il modello è articolato. Chiede alle organizzazioni di descrivere che cosa è accaduto, quando è accaduto, chi è stato coinvolto, come sono stati valutati i rischi e quali misure sono state adottate in risposta. L’obiettivo dichiarato è rendere il processo più coerente e più semplice da seguire, in particolare per le organizzazioni più piccole che potrebbero non disporre di team legali specializzati. Al tempo stesso, il livello di dettaglio richiesto significa che le imprese avranno bisogno di registrazioni affidabili degli incidenti e di un accesso rapido alle informazioni tecniche e legali.

Cosa comprende il modulo proposto

Il documento è suddiviso in sette ampie aree. La prima riguarda lo stato della comunicazione: un’organizzazione deve indicare se sta presentando una notifica iniziale, aggiornando una precedente o ritirando una notifica già inviata.

Una seconda sezione registra l’identità e il ruolo dell’organizzazione. Comprende il settore economico pertinente, utilizzando classificazioni dalla A alla V, nonché il tipo di organizzazione coinvolta. Il modulo richiede inoltre ai titolari di identificare i responsabili del trattamento e gli eventuali contitolari collegati all’incidente.

La sezione dedicata alla cronologia chiede la data e l’ora in cui si è verificata la violazione e quelle in cui è stata scoperta. Se la notifica viene presentata oltre il termine previsto dalla legge di 72 ore, l’organizzazione deve spiegare il ritardo. Ciò rende particolarmente importante la qualità della registrazione interna degli incidenti, poiché il termine per la notifica dipende dal momento del rilevamento e dalla valutazione, da parte dell’organizzazione, dei propri obblighi.

Il modulo proposto chiede poi alle organizzazioni di classificare la natura della violazione. Devono indicare se sono stati compromessi la riservatezza, l’integrità o la disponibilità e specificare, ove noto, se la responsabilità è di un soggetto interno o esterno con intenti dolosi.

Un’altra parte si concentra sulle persone e sulle informazioni coinvolte. Le organizzazioni devono identificare le categorie pertinenti di interessati, come dipendenti, clienti, minori o persone vulnerabili, e indicare il numero di record coinvolti. Quando i dati non sono ancora certi, il modulo consente di presentare una notifica iniziale basata su stime. Tale notifica può essere successivamente modificata tramite una comunicazione integrativa.

Prove, rischio e incidenti transfrontalieri

La sezione sulla valutazione del rischio richiede una spiegazione di come l’organizzazione abbia valutato i possibili effetti sulle persone. Chiede inoltre informazioni sulle misure di sicurezza già in essere, comprese misure come la crittografia e l’autenticazione multifattore.

L’area finale riguarda gli incidenti che coinvolgono più di un Paese dello Spazio economico europeo e i documenti giustificativi. Tra gli esempi individuati da Aisa International figurano le valutazioni dei rischi, i messaggi inviati alle persone interessate, le e-mail di phishing e le richieste di riscatto dei ransomware. Questi requisiti significano che la notifica non si limita a una breve descrizione dell’evento; le autorità potrebbero aspettarsi anche materiale che dimostri come l’organizzazione lo abbia analizzato e vi abbia risposto.

La responsabilità può restare in capo al titolare del trattamento anche quando la violazione si verifica presso un fornitore di servizi esterno. Il requisito del modulo proposto di registrare i responsabili del trattamento e i contitolari riflette tale ripartizione dei ruoli. Un’azienda non può presumere che l’esternalizzazione del trattamento dei dati elimini i propri obblighi di notifica.

Il modulo riconosce inoltre che un titolare potrebbe non conoscere il numero preciso delle persone coinvolte entro 72 ore. È possibile presentare una notifica incompleta utilizzando le stime disponibili, seguita da informazioni aggiuntive una volta che l’indagine avrà prodotto dati più accurati. Ciò offre alle organizzazioni un modo per rispettare il termine iniziale senza attendere che ogni fatto sia stato accertato.

Nessuna data di attuazione per ora

Il termine per la consultazione è il 5 agosto 2026. Finché l’EDPB non stabilirà i prossimi passi, l’articolo non indica una data definitiva in cui il modello comune diventerà obbligatorio per le autorità nazionali o per le organizzazioni. Le imprese hanno quindi il tempo di esaminare in che modo le loro procedure di risposta alle violazioni raccolgano le informazioni richieste dal modulo proposto.

Aisa International afferma di non compilare notifiche di violazioni per i clienti, di non tenere registri manuali dei dati sottratti e di non effettuare riconciliazioni dei report sulle transazioni dei custodi. La società descrive il proprio ruolo come attività strategica di supervisione della conformità e afferma che l’indagine tecnica e la notifica dovrebbero essere affidate a consulenti specializzati in sicurezza delle informazioni e questioni legali.

L’editore presenta il modulo proposto come parte di un più ampio passaggio verso una supervisione più strutturata dei rischi digitali. Per le organizzazioni, l’implicazione pratica è che la preparazione alle violazioni non può dipendere esclusivamente da interventi improvvisati durante una crisi. Cronologie accurate, una chiara attribuzione delle responsabilità ai responsabili del trattamento, valutazioni dei rischi documentate e prove conservate potrebbero essere tutte necessarie se l’approccio comune alla notifica andrà avanti.

L’articolo di Aisa International precisa che le informazioni fornite sono di carattere generale e non costituiscono una consulenza personalizzata, e avverte che le leggi possono cambiare. Raccomanda di consultare indicazioni aggiornate di consulenti qualificati e fonti governative ufficiali prima di fare affidamento sulla proposta in un caso specifico.