Studio Frattale & Partners

Un ransomware che cifra i server dello studio, una email con dati di clienti inviata al destinatario sbagliato, un portatile smarrito in treno: sono eventi diversi per origine e gravità, ma per il Regolamento (UE) 2016/679 (GDPR) possono essere tutti, a seconda dei casi, una violazione dei dati personali. Da quel momento parte un termine che la legge non sospende: settantadue ore per decidere se notificare l'accaduto al Garante. Questo contributo ricostruisce il quadro normativo, i criteri per valutare il rischio, le modalità della notifica e della comunicazione agli interessati, le sanzioni e una checklist operativa da seguire quando l'evento è già accaduto. Cos'è una violazione dei dati personali (e cosa non lo è) L'art. 4, punto 12, del GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati pe...

  Chiunque abbia il sospetto che un dipendente stia sottraendo informazioni riservate all'azienda, o che il proprio coniuge non stia dicendo la verità, si trova prima o poi davanti alla stessa domanda: posso controllare, verificare, raccogliere elementi, senza violare la normativa sulla protezione dei dati personali? La risposta, per quanto possa sorprendere chi pensa alla privacy come a un diritto assoluto, è sì, a condizioni precise. L'ordinamento italiano ed europeo hanno costruito, nel tempo, una vera e propria deroga strutturale al regime ordinario di protezione dei dati personali, fondata su un principio semplice: il diritto di difendersi in giudizio, riconosciuto come inviolabile dall'articolo 24 della Costituzione, non può essere reso concretamente inesercitabile dalla disciplina sulla riservatezza. Due esempi, apparentemente distanti tra loro, mostrano bene come funziona questa deroga nella pratica quotidiana degli studi legali e commercialistici: le indagini difen...