Le istruttorie privacy sono procedimenti formali avviati da un'autorità per la protezione dei dati per valutare una presunta violazione della normativa sulla protezione dei dati, in genere ai sensi del GDPR. L'autorità raccoglie i fatti, esamina i documenti e può chiedere chiarimenti all'organizzazione oggetto dell'esame. Non si tratta ancora di una sanzione definitiva; è il processo strutturato utilizzato per stabilire se si sia verificata una violazione e quale risposta sia appropriata.
Sono importanti perché trasformano la conformità alla privacy in una verifica basata sulle prove. Nei casi reali, un'istruttoria può seguire un reclamo, una segnalazione di data breach o i controlli autonomi dell'autorità di regolamentazione. Le difese dipendono spesso da documenti come valutazioni del rischio, policy interne, registri degli incidenti, contratti con i fornitori e prove delle misure correttive adottate. Per gli attaccanti, una documentazione debole può rendere più difficile la difesa di un'azienda se i dati personali sono stati esposti o gestiti in modo improprio. Per i difensori, una buona documentazione aiuta a dimostrare il trattamento lecito, il contenimento tempestivo e gli sforzi per ridurre i danni. In pratica, l'istruttoria è il momento in cui un problema di privacy diventa un caso dimostrabile.