Nel contesto attuale in cui la violazione dei dati può avere ripercussioni gravi, una recente vicenda ha evidenziato quanto sia critica la gestione di un data breach.
Una banca polacca ha subito il furto di un pacco, contenente documenti personali dei clienti, durante la consegna da parte di un corriere.
Tuttavia, l’incidente non è stato comunicato ai clienti interessati, né alle autorità competenti che sono venute a conoscenza della notizia tramite i mass media. Questo comportamento ha portato a una sanzione significativa da parte dell’Autorità Garante polacca per non aver comunicato tempestivamente l’incidente, violando così gli articoli 33 e 34 del GDPR.
1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controlloautorità pubblica indipendente istituita da uno Stato membr... competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controlloautorità pubblica indipendente istituita da uno Stato membr... non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.
(Art. 33, par. 1 Reg. UE 2016/679)
1. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.
(Art. 34, par. 1 Reg. UE 2016/679)
Questa negligenza ha comportato una sanzione di circa 330.000 euro, sottolineando l’importanza di una rapida notifica tanto agli interessati quanto alle autorità competenti.
Questa situazione dimostra che oltre a essere un obbligo legale, la notifica di un data breach è fondamentale per mantenere la fiducia dei clienti e limitare i danni alla reputazione aziendale. La trasparenza non solo rispetta i diritti degli utenti, ma rafforza anche la percezione di un’organizzazione come responsabile e affidabile.
Le aziende devono quindi considerare seriamente le loro politiche di privacy e sicurezza dei dati, implementando strategie efficaci per la gestione e la comunicazione delle violazioni di dati personali (leggi qui altri approfondimenti). Questo non solo per evitare sanzioni (qui il nostro elenco sanzioni GDPR) , ma per costruire una relazione di fiducia duratura con i propri clienti.
