[…] L'articolo 16 disciplina la procedura di notifica da osservare in caso di incidente, prevedendo che i soggetti critici comunichino, senza indebito ritardo, alla rispettiva autorità settoriale competente e al PCU, […] 35 e 36 del Regolamento. Per evitare dubbi interpretativi è, tuttavia, opportuno integrare l'articolo 16 richiamando – per le ipotesi nelle quali l'evento o incidente implichi violazioni di dati personali- gli adempimenti previsti dagli articoli 33 ss. del Regolamento e (ove applicabile) 26 ss. del decreto legislativo 18 maggio 2018, n. 51 indipendentemente dalle valutazioni sulla rilevanza dell'incidente di cui ai commi 1, 3 e 4 del medesimo articolo 16.

[…] Il testo oggi proposto all'attenzione del Garante tiene conto di molte delle indicazioni fornite dall'Ufficio nella fase istruttoria, volte ad assicurare il rispetto della disciplina in materia di protezione dei dati personali. In particolare, il Ministero dell'interno – sulla base di una valutazione d'impatto sulla protezione dei dati svolta, ai sensi dell'art. 35 del Regolamento, sul complesso di trattamenti effettuati nell'ambito del sistema S.IN.D.A.C.A., trasmessa al Garante unitamente allo schema di decreto – ha previsto l'adozione, tra le altre, delle seguenti misure tecniche e organizzative:

[…] VISTO l'art. 5, del d. lgs. n. 33 del 14 marzo 2013, recante «Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni»; […] Il regime di pubblicità dei lavori delle Commissioni è disciplinato dal Regolamento interno del CSM, che prevede, fra l'altro, come in generale «Le sedute delle Commissioni non sono pubbliche». Quanto all'accessibilità dei relativi atti, valgono le regole previste dall'art. 33 del medesimo regolamento.

[…] L'articolo 13 disciplina la procedura da osservare in caso di “data breach”, imponendo la notifica al Garante, con le modalità e le tempistiche previste dall'articolo 33 del Regolamento, delle violazioni dei dati o degli incidenti informatici suscettibili di avere un impatto significativo sui dati personali trattati. Qualora la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, il titolare è tenuto a darne comunicazione anche agli interessati, in conformità a quanto previsto dall'articolo 34 del Regolamento.

[…] Il decreto disciplina, inoltre, le modalità di realizzazione dei trattamenti connessi all'istituzione dei sistemi e registri (art. 5), demandando a regolamenti regionali (o delle Province autonome di Trento e Bolzano) la disciplina di dettaglio dei propri sistemi di sorveglianza e registri (art. 6, c. 3). […] L'articolo 15 reca disposizioni in ordine alle violazioni dei dati personali, conformemente agli articoli 33 e 34 del Regolamento. L'articolo 16, invece, prevede lo svolgimento una specifica valutazione di impatto in relazione ai trattamenti sottesi al registro in considerazione della loro natura, dell'oggetto, del contesto e delle finalità perseguite.