Il Regolamento generale sulla protezione dei dati prevede che, in caso di violazione dei dati personali, il titolare del trattamento deve notificare la violazione all’autorità di controllo competente entro 72 ore dalla scoperta della violazione. La notifica deve essere effettuata per iscritto e deve contenere le seguenti informazioni:

• la natura della violazione;
• le categorie e il numero di dati personali interessati;
• le misure adottate dal titolare del trattamento per mitigare l’impatto della violazione;
• le misure che il titolare del trattamento ha preso o intende prendere per informare gli interessati della violazione.

Se la violazione dei dati personali è suscettibile di provocare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve informare anche gli interessati della violazione, in modo chiaro, conciso e facilmente comprensibile. L’informativa deve essere inviata agli interessati entro 72 ore dalla scoperta della violazione.