Modelli e registrazioni · ISO 27701 · Punto A.3

Modello di registro delle violazioni dei dati personali ISO 27701

Ogni violazione dei dati personali si documenta, che venga notificata o no. Il registro è ciò che dimostra che è stata valutata in tempo e che la decisione era motivata.

In una frase

Il registro delle violazioni dei dati personali documenta ogni violazione di sicurezza che riguarda dati personali con i fatti, gli effetti e le misure correttive, e la decisione motivata di notificarla o meno all’autorità entro 72 ore, perché l’articolo 33.5 del GDPR obbliga a documentarle tutte e la ISO/IEC 27701 ne integra la gestione nei controlli comuni della tabella A.3.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27701 · Punto A.3 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
Tipo di informazione: Registrazione obbligatoria Registrazione da conservare (art. 33.5 GDPR; controlli di gestione degli incidenti della tabella A.3)
Chi lo compila: Responsabile del PIMS, con l’IT e l’RPD Chi rileva la violazione la segnala subito attraverso il canale stabilito
Quando: Dalla prima segnalazione Il conteggio delle 72 ore parte da quando si viene a conoscenza della violazione
Per quanto tempo si conserva: Lo stabilisce l’organizzazione Né la norma né il GDPR fissano un termine per la registrazione in sé; il principio di limitazione della conservazione (art. 5.1.e GDPR) obbliga a giustificare quello scelto.

Che cosa richiede la norma

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

La norma chiede di gestire gli incidenti di sicurezza nella loro dimensione privacy: rilevare se riguardano dati personali, valutare le conseguenze per le persone e adempiere agli obblighi di notifica. Il responsabile deve informare il cliente senza ingiustificato ritardo (art. 33.2 GDPR).

Il titolare notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile un rischio per i diritti e le libertà (art. 33.1). Se il rischio è elevato, la violazione va comunicata anche agli interessati (art. 34).

L’articolo 33.5 impone di documentare qualsiasi violazione —fatti, effetti e misure—, comprese quelle non notificate. È questa documentazione che consente all’autorità di verificare il rispetto della norma.

Lo legga nel contesto: Controlli per titolari e responsabili, nell’Academy ISO 27701

Struttura

Campi che il modello deve contenere

Numero, data e ora di rilevazione e di presa di conoscenza
Descrizione dell’accaduto e tipo: riservatezza, integrità o disponibilità
Categorie e numero approssimativo di interessati e di registrazioni
Conseguenze probabili per le persone
Misure adottate e proposte per attenuarne gli effetti
Valutazione del rischio e decisione sulla notifica, con il motivo
Data della notifica all’autorità e riferimento
Comunicazione agli interessati, se dovuta
Non conformità o azione correttiva aperta

Esempio

Esempio: e-mail inviata con i destinatari in chiaro da una scuola di formazione fittizia

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Numero e data	BR-2026-004 · 10 marzo 2026, 11:20 (presa di conoscenza alle 11:45)
Descrizione	Invio a 312 allievi con gli indirizzi nel campo «A» · Riservatezza
Dati coinvolti	Indirizzi e-mail di 312 allievi adulti
Conseguenze	Esposizione degli indirizzi tra gli allievi; nessun dato sensibile
Misure	Messaggio di scuse con la richiesta di eliminare l’e-mail; invii massivi solo dalla piattaforma newsletter
Decisione	Nessuna notifica: rischio improbabile per i diritti e le libertà · Motivazione dell’RPD archiviata
Azione	NC-2026-011 aperta per bloccare gli invii con più di 20 destinatari dalla posta personale · Accademia Lumen (fittizia)

In audit

Errori che gli auditor rilevano più spesso

Si registrano solo le violazioni notificate.
Non risulta l’ora in cui se ne è venuti a conoscenza, quindi non si può dimostrare il rispetto del termine.
La decisione di non notificare non ha una motivazione scritta.
Il contratto con il responsabile non stabilisce come e quando deve avvisare.
La violazione si chiude senza azione correttiva anche se rivela un controllo che non funzionava.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1Le violazioni si registrano come incidenti con la loro classificazione e l’ora di presa di conoscenza.
2Il sistema mostra il tempo che resta alle 72 ore e avvisa i responsabili.
3La decisione sulla notifica resta nella stessa registrazione con la sua giustificazione.
4Dalla violazione si apre la non conformità con causa radice obbligatoria.

Domande frequenti

Cosa ci chiedono prima di iniziare

Vanno notificate tutte le violazioni?

No. Si notificano quelle che probabilmente comportano un rischio per i diritti e le libertà; ma si documentano tutte (art. 33.5 GDPR).

Che cosa succede se non si rispettano le 72 ore?

Si notifica comunque, spiegando i motivi del ritardo (art. 33.1). Le informazioni si possono fornire in fasi successive se non sono complete (art. 33.4).

Gestisca le registrazioni ISO 27701 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022