Si è verificata una violazione di dati negli ultimi due anni che doveva essere segnalata?

Sì/no su una violazione dei dati è raramente supportabile in una sola volta

Questa domanda non chiede se qualcosa sia mai andato storto, ma se si è verificata una violazione dei dati che doveva essere notificata — questo è un passaggio intermedio. Una violazione rilevata internamente e gestita senza obbligo di notifica è diversa da una violazione notificata all'autorità di controllo e eventualmente agli interessati. La risposta "no" quindi può essere data solo se sei sicuro che non si sia verificato un incidente soggetto a notifica, non solo perché non ne hai memoria. La risposta "sì" richiede la possibilità di rispondere a una domanda di follow-up: quando, cosa è stato notificato e a chi.

In pratica, questa è una delle domande in cui la risposta può cambiare da un turno di compilazione all'altro, perché il periodo "ultimi due anni" scorre. Una violazione avvenuta due anni e un mese fa non rientra in essa quest'anno, mentre l'anno scorso contava ancora. Per questo motivo non è una risposta che fissi una volta e poi lasci stare: il fascicolo deve verificare di nuovo ad ogni turno se un periodo esce o entra. Chi compila questo argomento più spesso, riconosce anche la domanda correlata su un canale interno di segnalazione per i denuncianti: entrambe le domande non verificano solo se qualcosa esiste, ma se il processo è stato effettivamente utilizzato.

Da dove viene: nessun articolo fisso, bensì un punto di controllo ricorrente

Questa domanda non proviene da un articolo specifico fornito a Supplia; appartiene alla categoria più ampia di domande sull'elaborazione dei dati, insieme a domande come se l'impresa tiene un registro delle attività di trattamento. La fonte di questa risposta si trova quindi non in una norma esterna, ma nel registro interno degli incidenti dell'impresa: la registrazione di ciò che è accaduto, quando, e se una notifica è stata inviata. Senza questo documento interno, non c'è base per confermare "no", e con un registro solo parzialmente compilato, non c'è nemmeno base per supportare completamente "sì".