Politica di risposta alle violazioni dei dati
Introduzione
La presente politica illustra la risposta di revzper SAS alle violazioni dei dati personali, garantendo la conformità alle normative applicabili in materia di protezione dei dati e minimizzando i rischi per le persone.
Obblighi di risposta alle violazioni dei dati
1. Valutazione della violazione
In caso di violazione dei dati personali, revzper SAS valuterà la natura, la portata e il potenziale impatto entro 24 ore dalla rilevazione.
2. Notifica all'autorità di controllo
Qualora sia probabile che la violazione comporti un rischio per i diritti e le libertà delle persone, revzper SAS notificherà la violazione all'autorità di controllo competente entro 72 ore dalla rilevazione.
Rif.: GDPR Art. 33
3. Notifica agli interessati
Qualora sia probabile che la violazione comporti un rischio elevato per i diritti e le libertà delle persone fisiche, revzper SAS notificherà gli interessati senza ingiustificato ritardo. Tali rischi includono discriminazione, furto d'identità, perdita finanziaria o altri significativi svantaggi economici o sociali.
Rif.: GDPR Art. 34, GDPR Considerando 85
4. Documentazione della violazione
revzper SAS documenterà tutte le violazioni, comprese le cause, gli effetti e le azioni correttive intraprese.
Rif.: GDPR Art. 33(5), GDPR Art. 30(1)(g)
5. Misure preventive
revzper SAS attuerà misure per prevenire il ripetersi di violazioni dei dati personali.
Procedura di notifica all'autorità di controllo
1. Autorità destinataria della notifica
In caso di violazione dei dati personali che richieda la notifica all'autorità di controllo competente entro 72 ore, revzper SAS presenterà la notifica della violazione all'Autorità francese per la protezione dei dati (CNIL).
2. Portale per le notifiche
La notifica sarà presentata tramite il portale online ufficiale della CNIL.
3. Contenuto del pacchetto di notifica
Il pacchetto di notifica includerà:
- Una descrizione della natura della violazione dei dati personali, comprese le categorie e il numero approssimativo di interessati e di registrazioni di dati personali coinvolti;
- Il nome e i dati di contatto del responsabile della protezione dei dati (DPO) o di altro punto di contatto presso il quale sia possibile ottenere ulteriori informazioni;
- Una descrizione delle probabili conseguenze della violazione dei dati personali;
- Una descrizione delle misure adottate o proposte da revzper SAS per porre rimedio alla violazione dei dati personali, comprese, ove opportuno, le misure per attenuarne i possibili effetti negativi.
4. Tempistica della notifica
La notifica sarà preparata e presentata dal DPO o dal team designato per la risposta agli incidenti entro il termine di 72 ore.
5. Documentazione della notifica
Tutte le notifiche di violazione saranno documentate nel modello interno di documentazione delle violazioni.
Rif.: GDPR Art. 33(5)
Modello interno di documentazione delle violazioni
1. Finalità della documentazione
Tutte le violazioni dei dati personali saranno documentate utilizzando un modello standardizzato per garantire coerenza, tracciabilità e conformità alle normative applicabili.
2. Campi della documentazione della violazione
Il modello di documentazione della violazione include i seguenti campi:
- ID della violazione: Identificativo univoco della violazione.
- Data/Ora della rilevazione: Data e ora in cui è stata rilevata la violazione.
- Prodotto: Il prodotto o i prodotti interessati dalla violazione.
- Ambiente di hosting: L'ambiente di hosting in cui si è verificata la violazione.
- Ubicazione dei dati: L'ubicazione geografica dei dati interessati.
- Descrizione della violazione: Una descrizione dettagliata della natura e della portata della violazione.
- Categorie di dati interessati: Le categorie di dati personali coinvolti.
- Numero approssimativo di interessati: Il numero approssimativo di persone interessate dalla violazione.
- Data/Ora della valutazione: Data e ora in cui è stata valutata la violazione.
- Valutazione del rischio: Il livello di rischio valutato (basso, medio, alto) e la relativa motivazione.
- Notifica all'autorità di controllo: Data e ora della notifica all'autorità di controllo, se applicabile.
- Notifica agli interessati: Data e ora della notifica agli interessati, se applicabile.
- Azioni correttive intraprese: Una descrizione delle misure adottate per porre rimedio alla violazione e prevenirne il ripetersi.
- Analisi della causa principale: La causa principale della violazione e gli eventuali problemi sistemici individuati.
- Misure preventive: Ulteriori misure attuate per prevenire il ripetersi della violazione.
- Data della revisione del DPO: Data in cui il DPO ha esaminato e approvato la documentazione della violazione.
3. Procedura di documentazione
Rif.: GDPR Art. 30(1)(g)
La procedura di documentazione della violazione comprende le seguenti fasi:
- Documentazione iniziale: Il team di risposta agli incidenti completerà il modello entro 24 ore dalla rilevazione della violazione.
- Aggiornamento della valutazione: La valutazione del rischio e le azioni correttive saranno aggiornate con l'avanzamento dell'indagine.
- Revisione finale: Il DPO esaminerà e approverà la documentazione finale entro 72 ore dalla rilevazione della violazione.
- Conservazione: Il modello completato sarà conservato per un minimo di 3 anni in conformità alle normative applicabili.
4. Conservazione e condivisione della documentazione
Tutta la documentazione delle violazioni sarà conservata in modo sicuro e condivisa con le parti interessate, comprese l'autorità di controllo e le persone interessate, come richiesto dalle normative applicabili.