TL;DR
Il 5 ottobre 2026 il Presidente dell'UODO ha pubblicato indicazioni sulla soglia di notifica dell'art. 33, par. 1, dopo una serie di incidenti con accessi non autorizzati a banche dati di contraenti e sistemi di fatturazione. Se sono stati esposti solo dati di imprenditori già pubblici nel registro CEIDG (nome, ditta, NIP, indirizzo ufficiale), il rischio è di regola improbabile e la notifica può non servire. Se insieme a quei dati sono usciti il PESEL, dettagli di acquisti che rivelano la salute o altre categorie particolari, o informazioni finanziarie, la notifica è dovuta; con rischio elevato, anche la comunicazione agli interessati (art. 34). Sempre: valutazione del rischio documentata e motivi della mancata notifica nel registro interno.
Il contesto
Negli ultimi incidenti segnalati in Polonia, l'oggetto dell'accesso abusivo non erano archivi di clienti consumatori ma banche dati di contraenti e sistemi di fatturazione: elenchi di imprese e professionisti con cui si lavora. L'UODO chiede a ogni titolare una valutazione del rischio seria, caso per caso, il cui risultato decide se la notifica è dovuta.
Quando la notifica può non servire
Il caso tipico è quello degli imprenditori individuali i cui dati esposti coincidono con quelli liberamente consultabili nel registro pubblico CEIDG: nome e cognome, ditta, NIP, indirizzo ufficiale dell'attività. Secondo l'autorità, la perdita di riservatezza di questi dati, di regola, non offre a chi li ottiene nuove possibilità di danneggiare l'interessato. In Italia il parallelo più vicino sono i dati pubblici del registro delle imprese, ma la valutazione resta sempre da fare sul caso concreto.
Quando invece è dovuta
- PESEL, l'identificativo nazionale polacco: rischio di furto d'identità, frodi e debiti contratti a nome dell'interessato.
- DETTAGLI DI ACQUISTI O SERVIZI che rivelano lo stato di salute o altre categorie particolari: rischio per la vita privata, discriminazione, profilazione non autorizzata.
- INFORMAZIONI FINANZIARIE: rischio di frodi e di fatture o pagamenti falsi.
Non notificare non vuol dire non documentare
Anche quando il titolare conclude che la notifica non serve, resta obbligato a svolgere e documentare la valutazione del rischio e a indicare nel registro interno delle violazioni le ragioni della mancata notifica. Il GDPR chiede di documentare tutte le violazioni, notificate o no (art. 33, par. 5). Una decisione di non notificare senza traccia scritta è indifendibile in un controllo.
Che cosa vuol dire per il DPO
Cinque mosse per un incidente sul gestionale di fatturazione
Uno: ricostruire esattamente quali campi sono stati esposti, record per record, invece di ragionare sul «database» in astratto. Due: separare i dati già pubblici da tutto il resto (IBAN, importi, descrizioni delle prestazioni, recapiti personali, note). Tre: scrivere la valutazione con data, autore, criteri e conclusione, e riaprirla se emergono fatti nuovi. Quattro: tenere d'occhio le 72 ore, che decorrono dalla conoscenza della violazione e non dalla fine dell'analisi. Cinque: se l'incidente è presso un fornitore, verificare che abbia informato il titolare senza ritardo (art. 33, par. 2) e che il contratto lo preveda.
La lettura dell'UODO è coerente con le linee guida 9/2022 dell'EDPB sulla notifica delle violazioni: la soglia non è la gravità percepita dell'incidente ma il rischio per le persone. Il valore pratico dell'indicazione polacca sta negli esempi: dicono che cosa trasforma un elenco di contraenti in un problema da notificare.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
