Registro data breach GDPR: cos’è, quando e come compilarlo

Scopri quando compilare il registro delle violazioni privacy e cosa prevede il GDPR per imprese e pubbliche amministrazioni.

In breve — Il registro delle violazioni è il documento in cui il titolare del trattamento annota ogni data breach: che cosa è successo, quali dati e quante persone sono coinvolte, quali misure sono state adottate (art. 33, par. 5, del GDPR). Va compilato sempre, per ogni violazione di dati personali — anche per quelle che si è deciso di non notificare al Garante — perché serve a dimostrare di aver gestito l’evento con diligenza. La sua omissione è sanzionabile fino a 10 milioni di euro o al 2% del fatturato.

1. Che cos’è il registro delle violazioni dei dati personali

Il registro delle violazioni dei dati personali è uno strumento previsto dal Regolamento (UE) 2016/679 (GDPR), che consente al titolare del trattamento di documentare in modo sistematico ogni violazione della sicurezza che coinvolga dati personali, anche nota come data breach.

All’interno di questo registro, il titolare annota tutte le informazioni rilevanti su ogni episodio: quando è avvenuto, quali dati sono stati coinvolti, quali misure sono state adottate per contenere la violazione e per prevenire il ripetersi dell’evento. Il registro serve a dimostrare al Garante per la protezione dei dati personali la conformità dell’organizzazione e l’adozione di un sistema di gestione del rischio efficace.

2. Quando deve essere compilato il registro delle violazioni dei dati personali?

Il registro delle violazioni dei dati personali deve essere compilato tempestivamente ogni volta che si verifichi un incidente di sicurezza che abbia coinvolto i dati personali custoditi dal titolare del trattamento, quali, ad esempio, i dati dei propri dipendenti, clienti, collaboratori, fornitori, agenti.

Tuttavia, occorre precisare che non tutti gli incidenti di sicurezza sono violazioni dei dati personali da annotare nel registro data breach.  Devono essere annotati nel registro delle violazioni dei dati personali solo gli incidenti di sicurezza che abbiano compromesso  la riservatezza (se i dati personali sono stati accidentalmente visti da persone non autorizzate), l’integrità (se i dati personali sono stati modificati da terzi non autorizzati) o la disponibilità (se i dati personali sono stati cancellati o persi) dei dati personali.

3. Chi deve compilare il registro delle violazioni privacy

Il registro delle violazioni dei dati personali deve essere compilato dal titolare del trattamento, ossia il soggetto che determina le finalità e i mezzi del trattamento dei dati personali all’interno dell’organizzazione.

Il titolare può essere affiancato dal Responsabile della protezione dei dati personali (DPO), se nominato, oppure da uno o più Responsabili del trattamento, incaricati ai sensi dell’art. 28 del GDPR. In particolare, questi ultimi, secondo l’art. 28, par. 3, lett. f), hanno l’obbligo di informare tempestivamente il titolare qualora si verifichi una violazione che coinvolga dati personali trattati per suo conto.

È quindi il titolare a gestire il registro, con il supporto dei soggetti coinvolti nella governance privacy dell’organizzazione, assicurandosi che ogni violazione rilevante sia correttamente documentata.

4. Cosa deve contenere il registro delle violazione dei dati personali?

Il GDPR non stabilisce un contenuto rigido per il registro delle violazioni dei dati personali, ma richiede che il titolare documenti ogni evento in modo completo, affinché — in caso di controllo — sia possibile dimostrare la corretta gestione della violazione.

È prassi consolidata che il registro contenga tutte le informazioni utili a rappresentare con chiarezza natura, portata e gestione della violazione. In particolare, dovrebbero essere indicati:

Il registro deve essere conservato con modalità sicure e facilmente consultabili, in formato cartaceo o digitale, ed essere costantemente aggiornato dal titolare del trattamento.

5. Cosa può comportare la mancata adozione del registro delle violazioni privacy?

La mancata documentazione di una violazione dei dati personali può esporre il titolare del trattamento a sanzioni amministrative anche molto rilevanti. Ai sensi dell’art. 83, par. 4, del GDPR, l’omessa o incompleta tenuta del registro dei data breach costituisce una violazione degli obblighi previsti per titolari e responsabili del trattamento.

Il Garante per la protezione dei dati personali può infliggere sanzioni fino a 10 milioni di euro, oppure — per le imprese — fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. In particolare, tra gli obblighi richiamati vi sono quelli contenuti negli articoli da 25 a 39 del GDPR, tra cui anche l’art. 33 (notifica della violazione) e, per estensione, l’obbligo di documentare l’evento nel registro delle violazioni.

Mantenere un registro aggiornato e completo non è quindi solo una buona prassi, ma un adempimento obbligatorio, la cui omissione può generare sanzioni economiche e profili di responsabilità per l’organizzazione.

6. Come ti assiste lo Studio Legale Calzoni

Un registro aggiornato e ben documentato non è solo un adempimento di compliance: è uno strumento di tutela. Dimostra la diligenza e la tempestività del titolare, rafforza la posizione dell’organizzazione in caso di controllo del Garante e contribuisce a ridurre il rischio di sanzioni.

Lo Studio Legale Calzoni offre assistenza privacy e GDPR a imprese e pubbliche amministrazioni: impostiamo il registro delle violazioni e la procedura di gestione dei data breach, e affianchiamo il titolare nella corretta documentazione di ogni episodio — comprese le violazioni che, dopo valutazione, non vanno notificate ma vanno comunque tracciate.

Domande frequenti

Quando va compilato il registro delle violazioni? Ogni volta che si verifica una violazione di dati personali (data breach), a prescindere dal fatto che venga notificata al Garante o comunicata agli interessati. Il registro va tenuto sempre.

Chi deve compilare il registro data breach? Il titolare del trattamento, con il supporto del DPO (se nominato) e dei responsabili del trattamento, che devono informarlo tempestivamente delle violazioni che li riguardano (art. 28).

Cosa deve contenere il registro delle violazioni? Data e descrizione dell’incidente, categorie di dati e numero di interessati, conseguenze, misure adottate ed eventuali notifica al Garante e comunicazione agli interessati.

Il registro va tenuto anche se non si notifica al Garante? Sì. Vanno annotate tutte le violazioni, comprese quelle che — dopo la valutazione del rischio — si è deciso di non notificare, indicandone la motivazione.

Cosa si rischia se non si tiene il registro? Sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (art. 83, par. 4, GDPR), oltre a un profilo di responsabilità per l’organizzazione.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.