Data breach consulente esterno: sei responsabile?

La responsabilità della notifica al Garante entro 72 ore spetta a voi come titolari del trattamento, non al commercialista che è responsabile esterno. Il termine decorre da quando ne siete venuti a conoscenza, quindi dal momento della telefonata: vi restano circa 48 ore per valutare il rischio e notificare tramite il portale del Garante se i dati (stipendi, codici fiscali, IBAN) comportano probabili rischi per i dipendenti. Non è automaticamente colpa vostra, ma rispondete della scelta del consulente: verificate il contratto di nomina e documentate le contromisure adottate. Se il rischio è elevato, dovrete informare anche i 45 dipendenti interessati senza ritardo.

Risposta plausibile, ma non verificata sul tuo caso

Come titolare del trattamento, sei tu il principale responsabile verso il Garante Privacy e dovrai notificare il data breach entro 72 ore dalla scoperta, rischiando sanzioni fino a 10 milioni di euro o il 2% del fatturato se non adempi correttamente. Il consulente esterno, in qualità di responsabile del trattamento, risponde per inadempimento contrattuale e può essere sanzionato separatamente se ha violato gli obblighi di sicurezza previsti dal GDPR. Potrai rivalertì sullo studio esterno per i danni subiti se dimostri che la perdita dell'hard disk è dovuta a sua negligenza o mancanza delle misure di sicurezza concordate nel contratto. È fondamentale verificare subito se il contratto contiene le garanzie richieste dall'articolo 28 GDPR e raccogliere tutte le prove dell'accaduto per tutelare la tua posizione. Consulta immediatamente un legale o il tuo DPO per gestire correttamente la notifica e valutare le azioni di rivalsa.

Risposta plausibile, ma non verificata sul tuo caso

Lunedì mattina devi immediatamente richiedere al consulente IT una comunicazione scritta dettagliata sul data breach che descriva i dati compromessi, le circostanze del furto e le misure già adottate, poiché come titolare del trattamento hai l'obbligo di notificare il Garante Privacy entro 72 ore dalla scoperta della violazione se esiste rischio per i diritti degli interessati. Anche se la perdita fisica è responsabilità del consulente, tu rispondi primariamente e devi dimostrare di aver adottato adeguate misure di sicurezza contrattuali. Parallelamente, valuta se il rischio è elevato per notificare anche i clienti coinvolti e verifica che il consulente abbia sporto denuncia alle autorità. La mancata notifica tempestiva comporta sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo. Documenta tutto accuratamente e considera assistenza legale specializzata in privacy per gestire correttamente l'emergenza.

Risposta plausibile, ma non verificata sul tuo caso

Come titolare del trattamento, la responsabilità principale è vostra, anche se il consulente opera come responsabile esterno. Per una piccola azienda, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, ma il Garante valuta caso per caso applicando criteri di proporzionalità: data la vostra dimensione, l'importo sarà probabilmente contenuto, come nei precedenti che hanno visto sanzioni tra i 50.000 e i 420.000 euro per violazioni simili. La mancata cifratura della chiavetta USB e l'eventuale assenza di un contratto con il consulente aggravano la posizione. Dovete notificare immediatamente il data breach al Garante entro 72 ore dalla scoperta e documentare le misure di sicurezza adottate per ridurre l'impatto sanzionatorio.

Risposta plausibile, ma non verificata sul tuo caso

Il termine di 72 ore per la notifica al Garante decorre dal momento in cui tu, come titolare del trattamento, vieni effettivamente a conoscenza della violazione, quindi da oggi e non da due settimane fa. Devi immediatamente valutare se il data breach presenta un rischio per i diritti delle persone coinvolte: in tal caso la notifica è obbligatoria entro 72 ore da ora, documentando le ragioni dell'eventuale ritardo rispetto all'evento originario. La mancata comunicazione tempestiva da parte del fornitore rappresenta una sua inadempienza contrattuale, ma non ti esonera dall'obbligo di monitoraggio dei responsabili del trattamento. Le sanzioni per omessa o tardiva notifica possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, con il Garante italiano particolarmente rigoroso in materia. Consulta subito il DPO o un legale per valutare il rischio concreto, effettuare la notifica se necessaria e verificare le responsabilità contrattuali del fornitore.

Risposta plausibile, ma non verificata sul tuo caso

Il DPA è il contratto obbligatorio che nomina il consulente esterno "Responsabile del trattamento dati" secondo l'articolo 28 del GDPR. Dovevate firmarlo prima che lo studio iniziasse a gestire dati di dipendenti, perché stabilisce chi fa cosa e le misure di sicurezza da rispettare. Senza DPA, le responsabilità si confondono e rischiate sanzioni fino al 4% del fatturato, oltre a rispondere solidalmente del data breach. Dovete regolarizzare subito la posizione firmando il contratto retroattivamente e notificare la perdita del laptop al Garante Privacy entro 72 ore, altrimenti la violazione si aggrava.

Risposta plausibile, ma non verificata sul tuo caso

Non sei automaticamente responsabile della perdita del laptop del consulente esterno, ma devi gestire correttamente il data breach. Sei obbligato a notificare il Garante entro 72 ore dalla conoscenza dell'incidente, ma informare i dipendenti è necessario solo se la violazione comporta un rischio elevato per i loro diritti e libertà. Se i dati erano protetti da crittografia o riguardano solo informazioni generiche non sensibili, potrebbe non esserci obbligo di comunicazione agli interessati. Prima di allarmare i dipendenti, effettua una valutazione documentata del rischio con il DPO o un esperto privacy, considerando il tipo di dati presenti sul dispositivo e le misure di sicurezza adottate. Comunicare senza reale necessità potrebbe creare allarmismi ingiustificati e basi per rivalse, mentre omettere una comunicazione dovuta ti espone a sanzioni fino a 20 milioni di euro.

Risposta plausibile, ma non verificata sul tuo caso

La responsabilità ricade principalmente su di voi come titolari del trattamento, poiché il GDPR stabilisce che il titolare rimane responsabile anche per le attività delegate a fornitori esterni. Tuttavia, il fornitore ha comunque obblighi di legge: deve garantire misure di sicurezza adeguate come la cifratura, indipendentemente da cosa prevede il contratto, e notificarvi immediatamente l'incidente. Potete dimostrare la sua corresponsabilità documentando l'assenza di misure tecniche appropriate, la mancanza di un DPA conforme e il mancato rispetto degli obblighi di notifica. L'assenza di clausole contrattuali sulla cifratura non esonera il fornitore dagli obblighi previsti dal GDPR, ma non elimina nemmeno la vostra responsabilità primaria nella scelta di un fornitore inadeguato.

Risposta plausibile, ma non verificata sul tuo caso