PRIVACY –  CODICE DI CONDOTTA PER IL TRATTAMENTO DEI DATI PERSONALI C/O MICROMIC SRL

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

INTRODUZIONE

 

Ai sensi dell’art. 4 numero 7 del Reg. UE 2016/679 «il titolare del trattamento» è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri;

Titolare del trattamento dati è Micromic Srl con sede in Pomezia, Via Campobello, 41 CF: 03669521001 Pec: micromic@pec.micromic.com in persona del proprio rappresentante legale Dott. Edoaro Michon

Ai sensi dell’art. 4 numero 8 del Reg. UE 2016/679 «responsabile del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;

Il responsabile del trattamento è nominato tra soggetti che per esperienza, capacità e affidabilità diano idonea garanzia del rispetto delle disposizioni in materia di trattamento dei dati personali, ivi compreso il profilo della sicurezza.

Tale figura è stata indicata all’interno del modello privacy nella persona di Claudia De Santis, domiciliata presso la sede del Titolare.

Infine l’articolo 29 del Reg. UE. 2016/679 prescrive che chiunque agisca sotto la autorità del Titolare del trattamento ovvero sotto quella del responsabile del trattamento e che abbia accesso a dati personali, non possa trattare tali dati se non è istruito in tal senso dal titolare del trattamento.

A tal proposito Micromic Srl ha inteso nominare quale autorizzati al trattamento tutto il personale che svolge qualsivoglia attività in tal senso.

Le finalità dei trattamenti sono state individuate in ragione del contratto di lavoro all’uopo stipulato tra le parti.

Gli interessati possono contattare il Titolare e/o il Responsabile del trattamento dei dati personali per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento interno.

Sono tre le tipologie di dati personali che possono essere trattati dalla Micromic Srl:

 

  1. 9 GDPR:

Categorie Particolari: sono i dati personali idonei a rivelare “l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona;

  1. 10 GDPR:

Dati Personali relativi a condanne penali o reati

  1. 4 n. 1 GDPR:

«dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica,  culturale o sociale;

 

I trattamenti svolti in seno al Titolare possono essere di due specie:

  1. a) trattamenti di primo livello, che riguardano attività trasversali e sono svolti utilizzando la rete e il sistema informativo automatizzato della società;
  2. b) trattamenti di secondo livello: sono quelli specifici delle singole unità di trattamento, che sono monitorati e gestiti direttamente dai singoli Autorizzati di primo livello.

Con l’individuazione, il soggetto autorizzato può procedere al trattamento dei dati personali, che sia strumentale allo svolgimento delle mansioni contrattuali per cui è stato assunto (il riferimento è alla categoria di appartenenza) ovvero necessario alla cura delle attività, all’esecuzione dei compiti e al perseguimento degli obiettivi propri di ciascuna area o servizio di appartenenza, ovvero affidati dal proprio responsabile con ordine di servizio o altra comunicazione.

Si ricorda che ogni incaricato del trattamento, nel trattare i dati personali, deve rispettare i seguenti principi:

1) principio di finalità: il trattamento deve essere svolto per scopi determinati, espliciti e legittimi.

Con riferimento all’Ente, questo limite è ancor più pregnante, considerato che l’Associazione è autorizzata al trattamento solamente se il trattamento è strumentale allo svolgimento di funzioni indicate nello statuto.

2) principio di proporzionalità e minimizzazione: i dati, oggetto di trattamento, devono essere pertinenti, non eccedenti e completi rispetto agli scopi istituzionali perseguiti. La pertinenza attiene al merito dell’attività di trattamento; la non eccedenza alla quantità dei dati che possono essere raccolti e trattati in riferimento allo scopo perseguito; infine, la completezza attiene alla tutela dell’identità personale dell’interessato, che ha interesse a che il suo profilo e le informazioni detenute non siano parziali. Ove il trattamento riguardi categorie particolari di dati ovvero dati relativi a condanne penali o reati, occorre verificare caso per caso che i dati (di questa specie) siano indispensabili rispetto alla finalità perseguita;

3) principio di sicurezza: i dati oggetto di trattamento devono essere protetti attraverso l’adozione di misure di sicurezza.

Di seguito vengono riportate una serie di regole e di istruzioni, che devono essere osservate da ciascuna persona fisica preposta allo svolgimento delle operazioni di trattamento:

 

ISTRUZIONI PER LO SVOLGIMENTO DELLE OPERAZIONI, CARATTERIZZANTI IL PROCESSO DI TRATTAMENTO

 

– raccolta/profilazione: prima di procedere alla raccolta dei dati personali, deve essere fornita l’informativa all’interessato o alla persona della quale si raccolgono i dati. Occorre procedere alla raccolta dei dati con la massima cura, verificandone l’esattezza, nonché la pertinenza, la completezza e la non eccedenza rispetto alle finalità del trattamento, secondo quanto previsto dalla legge o dai regolamenti e le istruzioni del responsabile del la struttura;

– registrazione: non lasciare Cd-Rom, Dvd, fogli, cartelle e quant’altro a disposizione di estranei;

– conservazione: i documenti o gli atti che contengono dati di categoria particolari o “giudiziari” devono essere conservati in archivi ad accesso controllato, per cui occorre garantire che armadi, schedari e contenitori siano muniti di serratura ovvero che l’autorizzato del trattamento, che riceva cittadini e utenti, sia sempre presente nella propria stanza o luogo di lavoro, evitando che le informazioni trattate possano essere visualizzate e rese conoscibili a terzi. Sarà cura di ciascun responsabile del trattamento provvedere affinché venga escluso un accesso ad archivi e a dati da parte di soggetti che non siano autorizzati al trattamento;

– utilizzo: i dati possono essere utilizzati solo da coloro che sono stati espressamente autorizzati al trattamento. L’utilizzo dei dati deve avvenire solo per scopi determinati, espressi e legittimi e si deve evitare un utilizzo per scopi diversi rispetto a quello istituzionali dell’ente o non compatibili con gli stessi, con riferimento alle attività affidate e di competenza dell’unità di trattamento di appartenenza;

– blocco: questo può essere conseguenza di una espressa richiesta da parte dell’interessato ovvero può essere ordinato dal Garante per la protezione dei dati personali;

– comunicazione: con tale espressione, secondo quanto previsto dalla legge, si intende il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. Ciò che caratterizza l’operazione di comunicazione è il fatto che, considerato il rapporto diretto tra titolare e interessato (ad esempio un cittadino utente, un dipendente o un’impresa), un soggetto determinato (in posizione di terzietà rispetto a questo rapporto bilatero) possa in qualunque forma conoscere dati personali riferiti all’interessato medesimo;

– comunicazione di dati cd. comuni: Qualora il richiedente i dati personali sia un soggetto pubblico, la comunicazione dei cd. dati comuni potrà avvenire, pur in mancanza di espressa previsione di legge o di regolamento, ove sia necessaria per l’esercizio di una finalità istituzionale dell’ente destinatario della comunicazione stessa. In tal caso, tuttavia, occorrerà segnalare la circostanza al proprio responsabile, affinché proceda alla comunicazione preventiva al Garante per la protezione dei dati personali;

– comunicazione di categorie particolari di dati: Tali dati possono essere comunicati a soggetti determinati solo ove sia espressamente previsto da una legge, che autorizzi tale operazione, in conformità al parere del Garante per la protezione dei dati personali;

– diffusione: per diffusione si intende il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. La pubblicazione di qualsiasi atto (all’albo pretorio o in una bacheca, ovvero in Internet), che contenga dati personali, costituisce una forma di diffusione di informazioni personali.

– cancellazione: L‘interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; l’interessato revoca il consenso su cui si basa il trattamento e se non sussiste altro fondamento giuridico per il trattamento; l’interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento; i dati personali sono stati trattati illecitamente; i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione.

Qualora richiesta la cancellazione del dato e qualora terminata la finalità del trattamento, la documentazione deve essere distrutta con modalità che non permettano la ricostruzione del documento. I dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1 del Reg. UE 2016/679.

ISTRUZIONI PER IL CORRETTO UTILIZZO DEGLI STRUMENTI PER IL TRATTAMENTO:

-computer: tutte le volte che si abbandona la propria postazione di lavoro, il pc (o il terminale) in uso deve essere posto in condizione, per cui i dati non siano accessibili a estranei non autorizzati (si deve adottare uno screen saver con password ovvero sospendere la propria sessione di lavoro, disconnettendosi dall’applicazione in uso);

– email e uso dell’Internet: la posta elettronica deve essere utilizzata per scopi di ufficio. Si ricorda che qualunque comunicazione ricevuta o spedita utilizzando l’indirizzo di posta fornito dal Titolare, non è corrispondenza personale dell’operatore, per cui potrebbero essere effettuati controlli remoti al fine di verificare l’uso improprio o illecito degli strumenti forniti in dotazione.

– protezione dei dati particolari: occorre fare particolare attenzione alla spedizione, a mezzo di posta elettronica, di file o di messaggi contenenti categorie particolari di dati. In tal caso, occorrerà proteggere il contenuto del file dall’accesso e dalla visione di soggetti non autorizzati o legittimati al trattamento, diversi dai destinatari delle comunicazioni elettroniche considerate. A titolo meramente esemplificativo, si consiglia (a seconda dei casi, da valutarsi a cura del responsabile del trattamento) il ricorso all’uso di tecniche di criptazione o di cifratura dei messaggi, ovvero all’utilizzo di codici identificativi dell’identità dell’interessato associati ai dati particolari ovvero dati relativi a condanne penali o reati, in modo da rendere inintelligibili i dati in caso di intercettazione delle comunicazioni;

– file di log: per ragioni di sicurezza, si può avere la necessità di installare dispositivi automatizzati di registrazione delle operazioni svolte con elaboratori elettronici (cd. file di log) ovvero delle connessioni a Internet o dell’uso della posta elettronica;

– fax: questo strumento appare utile a garantire efficienza, economicità e velocità di comunicazione; tuttavia, presenta rischi specifici riguardo all’identità (a volte sconosciuta) di colui che materialmente riceve il documento trasmesso. A tal proposito, prima di inviare documenti contenenti categorie particolari di dati o per i quali vi siano esigenze di riservatezza, assicurarsi preventivamente che l’effettivo destinatario sia sul posto o comunque che non vi siano rischi di conoscenza del contenuto da parte di soggetti non autorizzati. Si consiglia di anticipare telefonicamente la trasmissione e di inserire in calce alla copertina del fax, che viene utilizzata per la spedizione della documentazione allegata, la seguente formula: “Qualora il destinatario del presente fax non sia la persona indicata nella presente copertina, è pregato di dare immediata comunicazione al mittente, a mezzo telefono o per fax. Successivamente, si prega di distruggere la documentazione erroneamente ricevuta, con l’avvertimento che in caso di non ottemperanza a questo invito si potrà essere responsabili della mancanza di protezione o dell’uso non autorizzato delle informazioni erroneamente acquisite”.

Istruzioni per l’utilizzo del fax:

– digitare correttamente il numero di telefono, cui inviare la comunicazione;

– controllare l’esattezza del numero digitato prima di inviare il documento;

– verificare che non vi siano inceppamenti della carta ovvero che non vengano

presi più fogli contemporaneamente;

– attendere la stampa del rapporto di trasmissione, verificando la corrispondenza tra il numero di pagine da inviare e quelle effettivamente inviate;

– qualora vengano trasmessi dati idonei a rivelare lo stato di salute, può essere opportuno anticipare l’invio del fax chiamando il destinatario della comunicazione al fine di assicurarsi che il ricevimento avverrà nelle mani del medesimo, evitando che soggetti estranei o non autorizzati, possano conoscere il contenuto della documentazione inviata;

– in alcuni casi, può essere opportuno richiedere una telefonata che confermi da parte del destinatario la circostanza della corretta ricezione e leggibilità del contenuto del fax;

– telefono: non fornire dati e informazioni di carattere personale o di natura comunque riservata per telefono, qualora non si conosca o non si abbia verosimilmente cognizione dell’identità o della legittimazione a conoscere del soggetto chiamante. In molti casi, si consiglia di richiedere l’identità del chiamante e la qualità, quindi di provvedere a richiamare, avendo così la certezza sull’identità del richiedente;

– scanner: i soggetti che provvedano all’acquisizione in formato digitale della documentazione cartacea (utilizzando ad esempio uno scanner) devono verificare che l’operazione avvenga correttamente e che il contenuto del documento oggetto di scansione sia correttamente leggibile; qualora vi siano errori di acquisizione ovvero si verifichino anomalie di processo, occorrerà procedere alla ripetizione delle operazioni;

– Pen-Drive: i supporti informatici, già utilizzati per il trattamento dei dati personali di qualunque tipologia, devono essere riutilizzati solo se le informazioni precedentemente contenute non sono più in alcun modo recuperabili, dovendo altrimenti essere distrutti. Tali dispositivi, qualora contengano dati personali, devono essere conservati in contenitori muniti di serratura;

– cd-rom: i supporti informatici, già utilizzati per il trattamento dei dati possono essere riutilizzati solo se le informazioni precedentemente contenute non sono più in alcun modo recuperabili, dovendo altrimenti essere distrutti. Tali dispositivi, qualora contengano dati personali, devono essere conservati in contenitori muniti di serratura;

– spedizione di documenti contenenti dati personali a mezzo posta: la documentazione contenente categorie particolari di dati ovvero dati relativi a condanne penali o reati, deve essere trasferita, anche all’interno delle Strutture aziendali , in busta chiusa, in modo da proteggere la riservatezza del documento e dei dati contenuti. I lembi della busta devono essere sigillati e firmati per garantire l’integrità del contenuto;

– uso di software: è vietato installare e usare qualunque software, anche se scaricato da internet, senza la previa autorizzazione da parte dell’amministratore di sistema. Si ricorda che l’uso di software contraffatto, ovvero senza licenza d’uso, costituisce un illecito, sia di natura penale, sia civile, secondo quanto previsto dalla legge sul diritto d’autore (legge 633/1941), così come integrata dal d.lgs. 518/1992 e successive modificazioni e integrazioni;

– Connessione internet WI-FI: Quale misura che intenda incentivare l’utilizzo della rete Wi-Fi all’interno della sede istituzionale e operativa per ospiti e lavoratori e che al contempo impedisca il libero accesso alla rete è indicato un hot spot dedicato.

E’ preferibile che l’utilizzo di tale hotspot avvenga per mezzo di una rete dedicata ovvero di uno strumento che possa permettere di verificare gli accessi, affinché il titolare dell’abbonamento Internet possa essere estraneo alla eventuale e possibile violazione commessa e dimostrare che qualcun altro ha utilizzato la sua connessione.

 

  1. C) ULTERIORI ISTRUZIONI PER I SOGGETTI AUTORIZZATI AL TRATTAMENTO:

 

Le persone autorizzate devono, altresì, rispettare le istruzioni seguenti in tema di protezione e di sicurezza dei dati e degli strumenti nello svolgimento delle operazioni affidate:

Rapporti di front-office e gestione documenti cartacei:

– identificazione dell’interessato: in alcuni casi può essere necessario dover identificare il soggetto interessato per esigenze di verifica dell’identità della persona e garanzia di correttezza del dato da raccogliere; può essere quindi necessario richiedere e ottenere un documento di identità o di riconoscimento;

– controllo dell’esattezza del dato: fare attenzione alla digitazione ed all’inserimento dei dati identificativi e personali degli interessati, evitando errori di battitura, che potrebbero creare problemi nella gestione dell’anagrafica e nel proseguo del processo;

– obbligo di riservatezza e segretezza: il soggetto autorizzato al trattamento ha l’obbligo della riservatezza e del segreto sulle informazioni, di cui venga a conoscenza nel corso delle operazioni del trattamento e deve evitare la comunicazione o la diffusione delle informazioni a soggetti non autorizzati o che non abbiano necessità di conoscere i dati trattati.

– tenuta cartelle e fascicoli: cartelle e fascicoli tenuti sulla propria scrivania, qualora si ricevano nella propria stanza utenti e cittadini, devono essere trattati in modo da garantire la riservatezza degli interessati. Si consiglia di rivoltare sotto sopra le cartelle ovvero di inserire (a seconda delle necessità operative e organizzativi) sul frontespizio dati e informazioni per cui non sia resa conoscibile a terzi estranei l’identità dei soggetti interessati;

– distruzione delle copie cartacee: evitare di gettare la documentazione nel cestino della carta straccia senza aver previamente provveduto a rendere inintelligibile il contenuto: si potranno utilizzare apparati distruggi documenti o altri sistemi (ad esempio strappo dei documenti, separazione del dato identificativo dal resto delle informazioni mediante separazione fisica dei fogli);

– data breach: i dati personali conservati, trasmessi o trattati da aziende e pubbliche amministrazioni possono essere soggetti al rischio di perdita, distruzione o diffusione indebita, ad esempio a seguito di attacchi informatici, accessi abusivi, incidenti o eventi avversi, come incendi o altre calamità. Si tratta di situazioni che possono comportare pericoli significativi per la privacy degli interessati cui si riferiscono i dati.

Per tale ragione il soggetto autorizzato venuto a conoscenza di una violazione o di una perdita del dato personale, anche in occasione di catastrofi naturali, deve senza indugio comunicare al proprio responsabile, se presente, ovvero al titolare del trattamento del dato personale la circostanza ed accertarsi che la problematica venga presa in carico (anche chiedendo una risposta per iscritto da parte del soggetto responsabile del trattamento dei dati personali). In calce al presente documento è stata dettagliata una guida completa da seguire in caso di Data – Breach.

 

  1. D) ISTRUZIONI IN TEMA DI SICUREZZA DEGLI STRUMENTI ELETTRONICI

 

  1. a) parola chiave/login/dati accesso: la parola chiave/login/dato, assegnata a ciascun incaricato, deve essere custodita con attenzione. Si consiglia di variare la parola chiave del soggetto autorizzato al trattamento ogni sei mesi.

La password non deve contenere riferimenti agevolmente riconducibile all’autorizzato e dovrebbe essere generata preferibilmente senza un significato compiuto;

Il soggetto autorizzato, nello scegliere la propria password, deve preferibilmente utilizzare anche caratteri speciali e lettere maiuscole e minuscole;

Il soggetto autorizzato è responsabile di ogni utilizzo indebito o non consentito della parola chiave di cui sia titolare;

Ove vi sia la necessità di garantire la disponibilità dei dati e dei documenti a persone terze, deve essere richiesta l’abilitazione all’amministratore di sistema e ogni incaricato deve poter accedere con la propria credenziale di autenticazione;

  1. b) back-up: salvo che non sia previsto un sistema di salvataggio di dati personali automatico ovvero centralizzato, occorre procedere con cadenza almeno bisettimanale alla effettuazione di copie di sicurezza dei dati personali oggetto di trattamento, utilizzando gli apparati messi a disposizione.
  2. c) antivirus: a meno che non siano adottati sistemi automatici di aggiornamento dei sistemi di protezione da programmi antivirus, i soggetti autorizzati del trattamento devono procedere all’effettuazione delle operazioni di aggiornamento dei programmi ivi considerati, almeno con cadenza settimanale o quando venga segnalata dal sistema tale esigenza, secondo le istruzioni visualizzate sullo schermo; una volta scaricato l’aggiornamento occorre procedere alla scansione dell’intero sistema per verificare la presenza sull’elaboratore in dotazione di virus;
  3. d) conservazione supporti rimovibili: i supporti utilizzati per la memorizzazione di copie di file di documenti di lavoro non devono essere lasciati in luoghi accessibili. Si consiglia di riporre cd-rom, DVD, dispositivi di memorizzazione in cassetti muniti di serratura ovvero di custodire gli stessi in modo da garantire un accesso controllato.
  4. e) strumenti di comunicazione social e di sistemi di messaggistica istantanea: l’unico strumento ammesso per le comunicazioni tra i soggetti autorizzati al trattamento dei dati personali, responsabili e titolari del trattamento è la mai fornita dalla società. I sistemi di messaggistica istantanea (Whatsapp, Telegram, Viber, Skype,.) e i social Network (Facebook, Twitter, Linkedyn, ecc..) non sono strumenti sicuri per le comunicazioni dei dati personali e come tali possono essere utilizzati solamente quali strumenti personali di comunicazione.
  5. f) Phishing: i messaggi di phishing invitano a fornire direttamente i propri dati personali, oppure a cliccare un link che rimanda ad una pagina web dove è presente un form da compilare. I dati così carpiti possono poi essere utilizzati per fare acquisti a spese della vittima, prelevare denaro dal suo conto o addirittura per compiere attività illecite utilizzando il suo nome e le sue credenziali. Prestare pertanto attenzione quando aprite sms, email che celano dietro al contraffazione di nomi/loghi e marchi noti (di enti pubblici, banche, agenzia delle entrate, Poste Italiane ecc.) tentativi di truffa e furto identità. Dati, codici di accesso e password personali non dovrebbero mai essere comunicati a sconosciuti.

 

Ad ogni modo è concesso l’utilizzo dei social per ragioni connesse alla propria mansione al fine di ottemperare ai propri obblighi contrattuali.

 

PROCEDURA DA SEGUIRE IN CASO DI DATA BREACH

DEFINIZIONE DATA BREACH

 

L’art. 33 del GDPR recita che : “In caso di violazione dei dati personali, il Titolare del trattamento notifica la violazione all’Autorità di controllo competente a norma dell’art. 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’Autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo”.

Per “Data Breach” si intende un evento in conseguenza del quale si verifica una “violazione dei dati personali”. Nello specifico, l’articolo 4 p.12 del GPDR definisce la violazione dei dati personali come violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Le Linee guida in materia di notifica delle violazioni di dati personali (data breach notification) – WP250, definite in base alle previsioni del Regolamento (UE) 2016/679 precisano la nozione di violazione come di seguito riportata:

Nel parere 03/2014 sulla notifica delle violazioni, il Gruppo di lavoro ha spiegato che le violazioni possono essere classificate in base ai seguenti tre principi ben noti della sicurezza delle informazioni14:

  • “violazione della riservatezza”, in caso di divulgazione dei dati personali o accesso agli stessi non autorizzati o accidentali;
  • “violazione dell’integrità”, in caso di modifica non autorizzata o accidentale dei dati personali;
  • “violazione della disponibilità”, in caso di perdita, distruzione accidentale o accessi non autorizzati di dati personali. Va altresì osservato che, a seconda dei casi, una violazione può riguardare contemporaneamente la riservatezza, l’integrità e la disponibilità dei dati personali, nonché qualsiasi combinazione delle stesse. Ci si potrebbe chiedere se una perdita temporanea della disponibilità dei dati personali costituisca una violazione e, in tal caso, se si tratti di una violazione che richiede la notifica.

L’articolo 32 del regolamento (“Sicurezza del trattamento”) spiega che nell’attuare misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, si dovrebbe prendere in considerazione, tra le altre cose, “la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento” e “la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico”. Di conseguenza, un incidente di sicurezza che determina l’indisponibilità dei dati personali per un certo periodo di tempo costituisce una violazione, in quanto la mancanza di accesso ai dati può avere un impatto significativo sui diritti e sulle libertà delle persone fisiche. Va precisato che l’indisponibilità dei dati personali dovuta allo svolgimento di un intervento di manutenzione programmata del sistema non costituisce una “violazione della sicurezza” ai sensi dell’articolo 4, punto 12 del GDPR.

Si consiglia di consegnare questo documento a tutti gli operatori che, a qualunque titolo, siano stati autorizzati al trattamento dei dati personali. Per una più corretta diffusione della guida, si raccomanda di affiggere all’interno della bacheca della sede istituzionale e operativa della società.

 

 

PROCESSO DI NOTIFICAZIONE DATA BREACH

 

Prima che si verifichi un incidente di sicurezza occorre predisporre le procedure, gli strumenti e l’organizzazione per gestire l’evento fortuito al meglio.

 

GESTIONE DELL’EVENTO

 

In caso di accertamento di violazione che rientra nella definizione di Data Breach, sarà opportuno seguire i seguenti step del processo di notificazione:

  • Acquisizione della notizia da parte dei soggetti preposti al ricevimento/raccolta della violazione (Titolare del Trattamento, Responsabile del Trattamento) che provvederanno ad attivare i passi successivi;
  • Analisi tecnica dell’evento;
  • Contenimento del danno;
  • Valutazione della gravità dell’evento;
  • Notifica al Garante Privacy;
  • Altre segnalazioni dovute;
  • Comunicazione agli interessati, dove necessario;
  • Inserimento dell’evento nel Registro delle Violazioni;
  • Azioni correttive specifiche e per analogia.

 

 

 

ACQUISIZIONE DELLA NOTIZIA

 

La segnalazione di un Data Breach può essere interna o esterna alla società Micromic Srl.

  • INTERNAMENTE:
  • Da personale dipendente;
  • Da personale convenzionato/stagisti/tirocinanti, ecc.

 

  • ESTERNAMENTE
  • Da parte degli organi Pubblici (Agid, Polizia, altre Forze dell’Ordine, giornalisti, ecc.)
  • Da parte dei Responsabili esterni del trattamento
  • Da parte degli interessati
  • Da parte di ulteriori soggetti.

 

Dal momento in cui i soggetti preposti predetti, vengono a conoscenza dell’evento, decorre il termine delle 72 ore previsto dalla normativa per l’invio della notifica all’Autorità di controllo.

Tale termine è ridotto a 48 ore nel caso in cui i trattamenti oggetto dell’evento rientrino in quelli previsti dalle misure di sicurezza e modalità di scambio dei dati personali tra Amministrazioni Pubbliche.

ANALISI TECNICA DELL’EVENTO

 

I Riceventi, dopo un’analisi preliminare, attivano il Gruppo di Gestione composto dal Titolare, dal Responsabile del Trattamento e dai consulenti privacy.

Il Gruppo che gestisce gli incidenti, è responsabile, sulla base delle rispettive competenze, in base alla tipologia della violazione, dell’analisi tecnica dell’evento, delle azioni da mettere in atto tempestivamente per il contenimento del danno.

In particolare, una volta verificato che l’evento segnalato si configuri effettivamente come un “Data Breach” (Analisi Preliminare), verranno svolte tutte le operazioni necessarie a raccogliere gli elementi per una valutazione dell’evento (Analisi Approfondita) ai fini della notifica al Garante della Privacy. È importante sottolineare che, anche nel caso in cui dall’Analisi Preliminare emerga che la segnalazione non ha i caratteri del Data Breach, è necessario registrarla nel Registro delle Violazioni.

Durante l’Analisi Approfondita, dovranno essere accertate le circostanze della violazione, le conseguenze e i relativi rimedi. Si precisa che l’art. 33 paragrafo n. 4 del DGPR recita “Qualora nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo”.

Pertanto, sarà fondamentale raccogliere il maggior numero di informazioni e, anche in caso queste non siano per il momento ritenute esaustive, effettuare la notificazione.

Nello specifico verrà effettuato, in un tempo consigliabile non superiore a 8 – 10 ore:

– Il riconoscimento della categoria della violazione (se di riservatezza, di integrità o di disponibilità) o altro evento (cfr. Linee Guida sulla notifica delle Violazioni dei dati personali ai sensi del Regolamento UE 2016/79 WP 250 Par. 1 . punto 2)

– L’identificazione dei dati violati/distrutti/compromessi e relativi trattamenti; – L’identificazione degli interessati;

– Il contenimento del danno come di seguito descritto:

  • Limitazione degli effetti dell’incidente,
  • Raccolta delle prove forensi nel caso sia ipotizzato un reato,
  • Determinazione delle azioni possibili di ripristino,
  • Valutazione delle eventuali vulnerabilità collegate con l’incidente,
  • Individuazione delle azioni di mitigazione delle vulnerabilità individuate,
  • Valutazione dei tempi di ripristino,
  • Ripristino dei dati, dei sistemi, dell’infrastruttura e delle configurazioni,
  • Verifica dei sistemi recuperati.

Tutte le operazioni effettuate devono essere tracciate e riconducibili al personale interno ovvero collaboratore.

 

VALUTAZIONE DELLA GRAVITÀ DELL’EVENTO

 

Il Gruppo di loro sopra individuato dovrà appurare se l’evento merita di essere notificato al Garante della Privacy e con quali modalità (notifica unica o per fasi).

Insieme ai soggetti interni di ausilio alla fase di analisi tecnica, si dovrà:

– Accertare la probabilità o meno che l’evento abbia comportato dei rischi per i diritti e la libertà delle persone (cioè quando si è verificato una distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali trasmessi, conservati o comunque trattati, sia che questi dati siano trattati all’interno che all’esterno);

– Effettuare la notifica al Garante, se necessaria;

– Verificare, successivamente, se sia necessaria una seconda notifica più approfondita, di conseguenza ad una analisi tecnica supplementare;

– Effettuare una comunicazione all’Autorità giudiziaria competente, se necessaria.

L’art. 33 paragrafo n. 1 chiarisce che non vi è obbligo di notifica della violazione quando è “improbabile” che questa comporti un rischio per i diritti e le libertà delle persone fisiche, ovviamente il giudizio che determina l’improbabilità del rischio deve essere riportato nel Registro delle Violazioni.

A questo proposito, i Garanti europei nelle loro linee guida, precisano che la mancata comunicazione può essere sanzionata ma che nessuna sanzione è prevista nel caso di comunicazione incompleta o di comunicazione non necessaria.

Nella fase di Valutazione, sulla base delle informazioni predisposte in fase di Pianificazione, occorre innanzitutto stabilire se nell’incidente sono coinvolti i dati personali.

In caso di risposta positiva occorre valutare l’impatto sugli interessati.

Se si tratta di una violazione di riservatezza occorre verificare che le misure di sicurezza (es.: cifratura dei dati) in vigore rendano improbabile l’identificazione degli interessati (non compromissione della chiave, algoritmo di cifratura o impronta senza vulnerabilità note).

In caso di perdita di integrità o disponibilità di dati occorre valutare se è possibile il recupero degli stessi in tempi compatibili con i diritti degli interessati.

Se in tale modo i rischi per gli interessati sono trascurabili, la procedura può terminare, dopo aver documentato il processo e le scelte operate: le misure messe in atto sono state adeguate alla minaccia.

La fase di Miglioramento può essere innescata per incrementare ulteriormente la protezione del dato, ma non è obbligatoria.

Nel caso che i rischi per l’interessato non siano trascurabili occorre procedere come di seguito:

  1. Si ha il dovere di notificare al Garante, in 3 ipotesi:
  2. L’organizzazione è Titolare del/i trattamenti dei dati coinvolti nell’incidente
  3. L’organizzazione è contitolare del trattamento con delega alla notifica
  4. L’organizzazione è Responsabile del trattamento con delega alla notifica.

 

  1. L’organizzazione non ha nemmeno potenzialmente il dovere di notificare all’Autorità Garante: questo quando agisce come Responsabile del trattamento per conto di altro Titolare, senza delega alla notifica al Garante.

Nella seconda ipotesi l’ente deve comunicare al Titolare la sospetta violazione e/o l’incidente di sicurezza riguardante dati personali al Titolare stesso nei modi convenuti con la massima tempestività e mettersi a disposizione di quest’ultimo per approfondimenti e contenimento dei danni.

Nella prima ipotesi occorre valutare, seguendo le indicazioni dei documenti sopracitati, se il rischio per gli interessati è probabile.

In questa fase come prima indicazione occorre assumere come rischio il massimo risultante dall’analisi fatta in fase di Pianificazione.

Qualora i contorni della compromissione non siano chiari si può attendere fino ad un massimo di 72 ore prima di effettuare una notifica. Alla scadenza delle 72 ore è opportuno fare una comunicazione significando che questa è l’inizio di una notifica in fasi. Si può valutare di fare una notifica cumulativa se una stessa compromissione ha riguardato la stessa tipologia di dati con le stesse modalità. Per completare la comunicazione, se temporalmente fattibile, occorre individuare: · Le misure di contenimento adottate

  • Il numero anche approssimativo di interessati
  • Il periodo di violazione
  • Se si ritiene di informare o meno gli interessati e le relative motivazioni
  • Le misure di contenimento del danno da suggerire agli interessati
  • Il carattere transfrontaliero e la nazionalità degli interessati o meno
  • Le azioni di miglioramento intraprese.

 

 

 

NOTIFICA AL GARANTE DELLA PRIVACY

 

Come accennato, la notifica di una violazione al Garante è resa obbligatoria dall’art. 33 del GDPR nei casi in cui si verifichi una violazione dei dati personali, a meno che sia improbabile che tale violazione presenti un rischio per i diritti e le libertà delle persone fisiche. La notifica, effettuata dal Referente Ufficio Privacy, sulla base del Modello reso disponibile dal Garante della privacy (allegato C) dovrà contenere i seguenti elementi:

– La descrizione della violazione dei dati personali compresi, ove possibile le categorie e il numero approssimativo di interessati in questione nonché le categorie ed il numero approssimativo di registrazioni dei dati personali in questione;

– La descrizione delle probabili conseguenze della violazione;

– L’indicazione delle misure adottate o di cui si propone l’adozione da parte del Titolare del trattamento per porre rimedio alla violazione dei dati personali e che, se del caso, per attenuare i possibili effetti negativi;

– Nello specifico, la notifica al Garante sarà effettuata dal Titolare tramite PEC.

Se l’estensione della compromissione è chiara e non si sono verificati episodi analoghi si deve procedere alla notifica all’Autorità. I contenuti della notifica sono specificati dal GDPR e dai documenti citati.

 

COMUNICAZIONE AGLI INTERESSATI

 

In caso di elevato rischio per la libertà e i diritti degli individui, si provvederà ad informare gli interessati sul fatto avvenuto, sui dati violati e sulle procedure necessarie a ridurre il rischio. La comunicazione agli interessati, secondo quanto previsto dal paragrafo n. 3 dell’art. 34 del GDPR, non è richiesta quando:

– il Titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;

– il Titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1; – la comunicazione richiederebbe sforzi sproporzionati.

In tal caso, si procede invece ad una comunicazione pubblica o a una misurazione simile, tramite la quale gli interessati sono informati con analoga efficacia.

La comunicazione deve contenere, ai sensi dell’art. 34, le seguenti informazioni:

– il nome e i dati di contatto del punto di contatto;

– la descrizione delle misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. A valle della decisione di notificare l’Autorità Garante, occorre valutare se è il caso di notificare anche gli interessati.

A tale scopo va valutata la gravità del rischio per gli interessati e i loro diritti. Se il rischio è grave occorre individuare:

  • La fattibilità di contattarli singolarmente oppure la necessità di procedere con pubblicazioni su diversi mezzi di comunicazione (sito web, quotidiani, radio, tv)
  • le misure di contenimento che gli stessi interessati possano mettere in atto per minimizzare i rischi
  • Le forme di comunicazione più comprensibili per gli interessati (mezzi, lingue, linguaggio) come indicato nelle Linee guida elaborate dal Gruppo Art. 29 in materia di trasparenza (WP 260), definite in base alle previsioni del Regolamento (UE) 2016/679. Anche di queste fasi deve essere prodotta e conservata appropriata documentazione.

 

 

 

 

 

 

 

 

 

INSERIMENTO DELL’EVENTO NEL REGISTRO DELLE VIOLAZIONI

 

L’art. 33 paragrafo n. 5 del DGPR, prescrive al Titolare di documentare qualsiasi violazione dei dati personali, al fine di consentire all’Autorità di controllo di verificare il rispetto della norma. Pertanto, il Gruppo Gestione Data Breach è Responsabile dell’inserimento di tutte le attività indicate sopra nel registro delle violazioni, che devono essere documentate, tracciabili, e in grado di fornire evidenza nelle sedi competenti. Tale procedura deve essere diffusa a tutti i soggetti deputati al trattamento dei dati personali che, a diverso titolo, potranno e dovranno essere di ausilio al Titolare del trattamento.

 

MIGLIORAMENTO

 

Le azioni previste in questa fase sono:

  • Analisi della relazione dettagliata sull’incidente
  • Reiterazione del processo di Gestione del rischio informativo
  • Eventuale revisione di questo documento (se necessaria) e di eventuali altri documenti collegati (es. Analisi del rischio, Misure di sicurezza)
  • Individuazione di controlli che diminuiscano la probabilità dell’incidente o i relativi impatti sul sistema colpito e su sistemi analoghi
  • Revisione del Sistema di Gestione della Privacy
  • Eventuale revisione annuale della procedura.

 

 

 

 

 

 

 

 

 

SEGNALAZIONE DATA BREACH

 

MODELLO DI NOTIFICA DATA BREACH AL GARANTE PRIVACY

 

  1. Titolare che effettua la comunicazione:
  2. Denominazione o ragione sociale
  3. Sede del Titolare
  4. Persona fisica addetta alla comunicazione
  5. Funzione rivestita
  6. Indirizzo e-mail per eventuali comunicazioni
  7. Recapito telefonico pe eventuali comunicazioni

 

  1. Natura della comunicazione:
  2. Nuova comunicazione (inserire contatti per eventuali chiarimenti, se diversi da quelli sub 1.)
  3. Seguito di precedente comunicazione (inserire numero di riferimento)

b1. Inserimento ulteriori informazioni sulla precedente comunicazione

b2. Ritiro precedente comunicazione (inserire le ragioni del ritiro)

 

  1. Denominazione della/e banca/banche dati oggetto di Data Breach e breve descrizione della violazione di dati personali ivi trattati.

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. Quando si è verificata la violazione di dati personali?
  2. il……
  3. tra il……..e il……..
  4. in un tempo non ancora determinato
  5. È possibile che sia ancora in corso

 

  1. Dove è avvenuta la violazione dei dati? (Specificare se sia avvenuta a seguito di smaltimento di dispositivi o di supporti portatili).

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. Modalità di esposizione al rischio:
  2. tipo di violazione:

a.1. lettura (presumibilmente i dati non sono stati copiati)

a.2. copia (i dati sono ancora presenti sui sistemi del Titolare)

a.3. alterazione ( i dati sono presenti sui sistemi ma sono stati alterati)

a.4. cancellazione (i dati non sono più sui sistemi del Titolare e non li ha neppure l’autore della violazione)

a.5. furto ( i dati non sono più sul sistema del Titolare e li ha l’autore della violazione)

a.6. altro (specificare)

 

  1. dispositivo oggetto della violazione:

b.1. computer

b.2. dispositivo mobile

b.3. documento cartaceo

b.4. file o parte di un file

b.5. strumento di backup

b.6. rete

b.7. altro (specificare)

 

 

  1. Sintetica descrizione dei sistemi di elaborazione o di memorizzazione dei dati coinvolti, con indicazione della loro ubicazione.

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

 

  1. Quante persone sono state colpite dalla violazione di dati personali?
  2. (numero esatto) persone
  3. circa (numero) persone
  4. un numero (ancora) sconosciuto di persone

 

  1. Che tipo di dati sono coinvolti nella violazione?
  2. Dati anagrafici
  3. Numeri di telefono
  4. Indirizzi di posta elettronica
  5. Dati di accesso e di identificazione (username, password, customer ID, altro)
  6. Altri dati personali (sesso, data di nascita/età,…) dati sensibili e giudiziari
  7. Ancora sconosciuto
  8. Altro ( specificare)

 

  1. Livello di gravità della violazione di dati personali (secondo le valutazioni del Titolare):
  2. Basso/trascurabile
  3. Medio
  4. Alto
  5. Molto alto

 

 

  1. Misure tecniche e organizzative applicate ai dati colpiti dalla violazione.

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. La violazione è stata comunicata anche alle persone interessate?
  2. Sì, e stata comunicate il…..
  3. No, perché (specificare)

 

  1. Qual è il contenuto della comunicazione alle persone interessate?(riportare il testo della comunicazione)

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. Quale canale è utilizzato per la comunicazione alle altre persone interessate?

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

  1. Quali misure tecnologiche e organizzative sono state assunte per contenere la violazione dei dati e prevenire simili violazioni future?

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. La violazione coinvolge contraenti (o altre persone interessate) che si trovano in altri Paesi EU?

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

 

  1. La comunicazione è stata effettuata alle competenti Autorità di altri Paesi EU?
  2. No
  3. Sì (specificare)