Per mantenere la sicurezza e prevenire trattamenti in violazione al presente regolamento, il titolare del trattamento o il responsabile del trattamento è tenuto a valutare i rischi inerenti al trattamento e attuare misure per limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un adeguato livello di sicurezza, inclusa la riservatezza, tenuto conto dello stato dell'arte e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati e' opportuno tenere in considerazione i rischi presentati dal trattamento dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la rivelazione o l'accesso non autorizzati a dati personali trasmessi, conservati o comunque elaborati, che potrebbero cagionare in particolare un danno fisico, materiale o immateriale.

Una violazione dei dati personali puo', se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati personali che li riguardano o limitazione dei loro diritti, discriminazione, furto o usurpazione d'identita', perdite finanziarie, decifratura non autorizzata della pseudonimizzazione, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale o qualsiasi altro danno economico o sociale significativo alla persona fisica interessata. Pertanto, non appena viene a conoscenza di un'avvenuta violazione dei dati personali, il titolare del trattamento deve notificare la violazione dei dati personali all'autorita' di controllo competente, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne eÌ? venuto a conoscenza, a meno che il titolare del trattamento non sia in grado di dimostrare che, conformemente al principio di responsabilizzazione, e' improbabile che la violazione dei dati personali presenti un rischio per i diritti e le liberta' delle persone fisiche. Oltre il termine di 72 ore, tale notifica deve essere corredata delle ragioni del ritardo e le informazioni potrebbero essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

Il titolare del trattamento deve comunicare all'interessato la violazione dei dati personali senza indebito ritardo, qualora questa violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le liberta' della persona fisica, al fine di consentirgli di prendere le precauzioni necessarie. La comunicazione deve descrivere la natura della violazione dei dati personali e formulare raccomandazioni per la persona fisica interessata intese ad attenuare i potenziali effetti negativi. Tali comunicazioni agli interessati devono essere effettuate non appena ragionevolmente possibile e in stretta collaborazione con l'autorita' di controllo e nel rispetto degli orientamenti impartiti da questa o da altre autorita' competenti quali le autorita' incaricate dell'applicazione della legge. Ad esempio, la necessita' di attenuare un rischio immediato di danno richiede che la comunicazione agli interessati fosse tempestiva, ma la necessita' di attuare opportune misure per contrastare violazioni di dati personali ripetute o analoghe potrebbe giustificare tempi piu' lunghi per la comunicazione.

E' opportuno verificare se sono state messe in atto tutte le misure tecnologiche e organizzative adeguate di protezione per stabilire immediatamente se c'e' stata violazione dei dati personali e informare tempestivamente l'autorita' di controllo e l'interessato. E' opportuno stabilire il fatto che la notifica sia stata trasmessa senza ingiustificato ritardo, tenendo conto in particolare della natura e della gravita' della violazione dei dati personali e delle sue conseguenze e effetti negativi per l'interessato. Siffatta notifica puoÌ? dar luogo a un intervento dell'autorita' di controllo nell'ambito dei suoi compiti e poteri previsti dal presente regolamento.

Fonte: Reg.UE n.679/2016 - GDPR