Protocollo di notifica delle violazioni dei dati
Considerazioni
- Dena Textile Productions B.V. attribuisce grande importanza a una solida protezione dei propri sistemi (elettronici) in cui sono archiviati e trattati dati personali.
- Non è mai possibile prevenire completamente una violazione dei dati.
- Dena Textile Productions B.V. è tenuta, ai sensi del Regolamento generale sulla protezione dei dati (GDPR), a notificare le violazioni dei dati (gravi) all'Autoriteit Persoonsgegevens e agli interessati.
- Dena Textile Productions B.V. intende adempiere ai propri obblighi di legge.
- Dena Textile Productions B.V. ha quindi formulato una politica per agire nel modo più adeguato possibile qualora si verifichi comunque una violazione dei dati.
1. Definizione di violazione dei dati
Si configura una violazione dei dati quando si verifica una lesione della sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica o la divulgazione non autorizzata di dati trasmessi, conservati o comunque trattati, oppure l'accesso non autorizzato agli stessi.
2. Responsabile interno per la notifica delle violazioni dei dati
Dena Textile Productions B.V. ha nominato un responsabile interno per il trattamento delle violazioni dei dati, incaricato della notifica di una violazione. Tale responsabile è il reparto Marketing, con primo punto di contatto: Rolf van Eden, telefono +31 (0)318 588 596, e-mail sales@cheffix.eu, di seguito denominato responsabile interno.
3. Notifica interna al momento della scoperta di una violazione dei dati
Chi scopre una violazione dei dati presso Dena Textile Productions B.V. ne dà immediata comunicazione al responsabile interno. Se possibile, chi ha scoperto la violazione provvede contestualmente a cancellare da remoto i dati trapelati o a renderli inaccessibili.
4. Indagine da parte del responsabile interno
Il responsabile interno indaga in particolare:
- se dati personali sono andati persi o possono essere utilizzati illecitamente;
- quali persone o reparti dell'organizzazione sono coinvolti nella violazione;
- se un responsabile del trattamento è coinvolto nell'incidente.
5. Contenimento della violazione dei dati
Il responsabile interno arresta la violazione, se ciò è ancora possibile, e adotta inoltre le misure necessarie per contrastarla nel modo più efficace possibile.
6. Valutazione delle conseguenze della violazione dei dati
Il responsabile interno esamina le possibili conseguenze della violazione in base alla natura e alla portata dei dati trapelati e stabilisce quali possano essere i pregiudizi per gli interessati.
7. Collaborazione nella fornitura di informazioni sulla violazione
Chi ha scoperto o segnalato la violazione collabora pienamente con il responsabile interno, rispondendo nel modo più rapido e completo possibile (per iscritto) alle seguenti domande:
- cosa è successo? (descrizione dell'incidente)
- si è trattato di un fatto accidentale o è stato causato da dolo (ad esempio dati sottratti tramite hacking)?
- quando è avvenuto? (data e ora)
- quando è stato scoperto?
- quali dati (registri) sono trapelati?
- i dati erano cifrati e, in caso affermativo, come?
- i dati potevano essere cancellati da remoto o resi inaccessibili e, in caso affermativo, ciò è stato fatto?
- quali sono le possibili conseguenze per gli interessati?
- quale/i gruppo/i di persone sono colpiti?
- quante persone sono colpite (indicativamente)?
- sono stati coinvolti anche dati di persone in altri paesi UE?
- sono già state adottate misure tecniche e/o organizzative in seguito all'incidente?
8. Disponibilità del personale dopo la scoperta di una violazione dei dati
Il responsabile del reparto da cui è avvenuta la violazione, nonché chi l'ha scoperta e chiunque, in virtù della propria funzione o conoscenza, sia in grado di adottare misure organizzative e/o tecniche per limitarne le conseguenze, si rende disponibile per le prime 24 ore dalla scoperta della violazione per consultarsi con il responsabile interno o con eventuali esperti da lui designati e per svolgere, ove necessario, le attività incaricate in conseguenza della violazione.
9. Decisione sulla notifica delle violazioni dei dati
Il responsabile interno decide il prima possibile, e in ogni caso entro 60 ore dalla scoperta della violazione, se, d'intesa o meno con il responsabile del reparto da cui è stata scoperta la violazione e/o con gli esperti da lui designati, la violazione debba essere notificata all'Autoriteit Persoonsgegevens e/o agli interessati. Una violazione dei dati va di norma sempre notificata all'Autoriteit Persoonsgegevens, salvo che sia improbabile che la violazione comporti un rischio per i diritti e le libertà degli interessati. La notifica della violazione è accompagnata dalle risposte alle domande di cui al punto 7. Una violazione notificata all'Autoriteit Persoonsgegevens viene comunicata anche agli interessati qualora comporti un rischio elevato per i diritti e le libertà delle persone fisiche, salvo che siano nel frattempo state adottate misure adeguate che hanno eliminato tale rischio elevato.
10. Notifica delle violazioni dei dati all'Autoriteit Persoonsgegevens e/o agli interessati
Il responsabile interno provvede, ove necessario, alla notifica all'Autoriteit Persoonsgegevens e/o agli interessati. La notifica avviene il prima possibile dopo la scoperta e in ogni caso entro 60 ore dalla scoperta della violazione. A nessun dipendente diverso dal responsabile interno è consentito notificare autonomamente la (presunta) violazione all'Autoriteit Persoonsgegevens e/o agli interessati. Se un dipendente non condivide la decisione del responsabile interno in merito alla notifica o meno della violazione all'Autoriteit Persoonsgegevens e/o agli interessati, può far valere le proprie obiezioni presso la direzione. Su richiesta, il dipendente collabora pienamente con il responsabile affinché le persone interessate possano essere informate della violazione ai sensi dell'articolo 34 GDPR.
11. Conseguenze della notifica delle violazioni dei dati
Qualora la violazione abbia conseguenze negative per gli interessati, il responsabile interno fa tutto il possibile per limitarle il più possibile. In funzione della natura e della portata della violazione per gli interessati, il responsabile interno stabilisce:
- in che modo gli interessati vengono informati (includendo in ogni caso le comunicazioni sui tipi di dati personali coinvolti, sulle possibili conseguenze, sulle misure adottate da Dena Textile Productions B.V. e su come gli interessati possono evitare o limitare autonomamente il danno);
- quale assistenza successiva ricevono gli interessati;
- quali azioni sono necessarie nell'interesse dell'organizzazione.
Se si è verificata una violazione dei dati, indipendentemente dal fatto che sia stata notificata o meno, vengono adottate il prima possibile misure tecniche e/o organizzative adeguate per prevenire violazioni future di natura analoga.
12. Tenuta del registro delle violazioni dei dati
Il responsabile interno tiene un registro di tutte le violazioni dei dati, in cui vengono registrati tutti i dati relativi alla violazione, quali:
- una descrizione dell'incidente.
- data e ora della violazione.
- data e ora della scoperta della violazione.
- descrizione del tipo di dati personali trapelati.
- descrizione della/e categoria/e di interessati coinvolti.
- descrizione del numero di interessati (indicativo).
- se sono stati divulgati dati di persone in altri paesi UE.
- se l'incidente è stato notificato all'Autoriteit Persoonsgegevens e, in caso affermativo, data e ora della notifica.
- se l'incidente è stato notificato agli interessati e, in caso affermativo, data e ora della notifica.
- in che modo gli interessati sono stati informati.
- le conseguenze della violazione, con indicazione, ove possibile, di data e ora.
- quali misure tecniche e/o organizzative sono state adottate in seguito alla violazione, con indicazione di data e ora.
Il presente protocollo di notifica delle violazioni dei dati è stato redatto il 1 maggio 2020.