Guida pratica
Come tenere il registro delle violazioni dei dati nello studio
Il GDPR obbliga il titolare del trattamento a documentare qualsiasi violazione dei dati personali, indipendentemente dal fatto che venga poi notificata all'autorità di controllo. Per lo studio di amministrazione condominiale questo significa tenere un registro interno delle violazioni, uno strumento troppo spesso trascurato finché non serve. Il registro non è la notifica al Garante: è l'archivio che raccoglie ogni incidente, la sua valutazione e le misure prese. Questa guida spiega cosa annotare per ciascun evento, come valutarne la gravità, quando la notifica diventa obbligatoria e come organizzare il tutto con una checklist.
Cosa annotare per ogni violazione
- Data e ora dell'evento e del momento in cui è stato scoperto.
- Descrizione di cosa è successo e come è stato individuato.
- Categorie e numero approssimativo di interessati e di dati coinvolti.
- Conseguenze probabili per gli interessati.
- Misure adottate per contenere e rimediare alla violazione.
- Valutazione del rischio e decisione se notificare al Garante e agli interessati.
- Motivazione della decisione presa, anche quando non si notifica.
Perché il registro va tenuto sempre
L'articolo 33, paragrafo 5, del GDPR impone al titolare di documentare qualsiasi violazione dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati. Questa documentazione consente all'autorità di controllo di verificare il rispetto delle regole. La conseguenza pratica è che il registro va tenuto anche per gli incidenti che non richiedono notifica, e persino la sua esistenza vuota dimostra che lo studio ha organizzato la gestione degli eventi.
Una violazione non è solo l'attacco informatico clamoroso. Nel condominio i casi più comuni sono banali e frequenti: un estratto conto inviato per errore al condomino sbagliato, un elenco morosi finito nelle mani sbagliate, un dispositivo smarrito, una password compromessa. Tutti questi eventi sono violazioni della riservatezza o della disponibilità dei dati e vanno registrati.
Come valutare la gravità di un evento
Per decidere come reagire occorre valutare il rischio per i diritti e le libertà degli interessati. Contano la natura dei dati coinvolti, il numero di persone toccate, la facilità di identificarle e le possibili conseguenze, come danni economici, discriminazione o danno alla reputazione. Un indirizzo email divulgato per errore ha un peso diverso da un elenco di situazioni debitorie o da dati relativi alla salute.
La valutazione va fatta e documentata per ogni evento, anche quando porta a concludere che il rischio è basso. Annotare il ragionamento è essenziale: dimostra che la decisione di non notificare, quando è questa la scelta, è motivata e non frutto di superficialità.
- Natura dei dati: comuni, economici, particolari come quelli sanitari.
- Numero e identificabilità degli interessati coinvolti.
- Possibili conseguenze concrete per le persone.
- Reversibilità della violazione e misure già in atto.
- Probabilità che i dati siano effettivamente usati in modo dannoso.
Quando scatta la notifica
Se la violazione comporta un rischio per i diritti e le libertà degli interessati, il titolare deve notificarla all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza. Se il rischio è elevato, va informato anche l'interessato, con un linguaggio chiaro, salvo le eccezioni previste dalla norma.
Nel contesto condominiale, l'amministratore che gestisce il trattamento per conto del titolare deve attivare tempestivamente la catena di comunicazione. Il registro serve proprio a non perdere tempo: se ogni evento è già documentato con orari, valutazione e misure, la decisione di notificare o meno arriva più rapida e più solida.
Organizzare il registro e collegarlo alla risposta agli incidenti
Il registro va tenuto in un formato ordinato e con date certe, così che ogni riga sia ricostruibile a distanza di tempo. Conviene affiancarlo a una procedura interna di risposta agli incidenti che stabilisca chi contattare, come contenere l'evento e chi decide sulla notifica: registro e procedura insieme rendono la reazione rapida e coerente.
Un gestionale che centralizza documenti, comunicazioni e tracciamento delle operazioni aiuta sia a ridurre le violazioni sia a documentarle quando accadono, perché consente di risalire a chi ha fatto cosa e quando. Le funzionalità di AmministraPro sono descritte nella pagina /funzioni e i piani nella pagina /prezzi.
Domande frequenti
Il registro delle violazioni va tenuto anche se non ci sono mai stati incidenti?
Sì. L'obbligo dell'articolo 33 del GDPR riguarda la documentazione di ogni violazione, ma predisporre il registro fa parte dell'organizzazione della conformità. Un registro esistente e vuoto dimostra che lo studio è pronto a gestire un incidente, mentre l'assenza totale di uno strumento è di per sé un segnale di disorganizzazione.
Ogni violazione va notificata al Garante?
No. La notifica è obbligatoria solo quando la violazione comporta un rischio per i diritti e le libertà degli interessati. Se il rischio è improbabile la notifica non è dovuta, ma l'evento va comunque registrato insieme alla valutazione che ha portato a non notificare.
Entro quanto tempo va fatta la notifica?
Quando dovuta, la notifica all'autorità di controllo va effettuata senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui il titolare è venuto a conoscenza della violazione. Se la notifica avviene oltre questo termine, va corredata dei motivi del ritardo.
Un invio a destinatario sbagliato è una violazione da registrare?
Sì. Inviare un documento con dati personali al condomino sbagliato è una violazione della riservatezza e va annotata nel registro con la valutazione del rischio. Spesso il rischio è contenuto e non richiede notifica, ma la registrazione e la valutazione restano dovute in ogni caso.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.