VIOLAZIONE DI DATI PERSONALI

MODELLO DI NOTIFICA AL GARANTE

I titolari di trattamento di dati personali sono tenuti a notificare al Garante le violazioni dei dati personali (data breach) che comportano accidentalmente o in modo illecito la distruzione, la perdita, la modificazione, la divulgazione non autorizzata o l’accesso ai dati personali  trasmessi,  conservati o comunque trattati, anche nell'ambito delle comunicazioni elettroniche, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati.

Notifica di una violazione dei dati personali
(art. 33 del Regolamento (UE) 2016/679 – RGPD e art. 26 del d.lgs. 51/2018)

Tipo di notifica	

 Preliminare1
	
     Completa	      
    Integrativa2	

Effettuata ai sensi del
	
  art.33 RGPD 	   
        art.26 d.lgs 51/2018 	

Sez. A - Dati del soggetto che effettua la notifica 	
Cognome:	Nome:	
E-mail:		
Recapito telefonico per eventuali comunicazioni:	
       Funzione rivestita:		

Sez. B - Titolare del trattamento	
Denominazione3:
	
     Codice Fiscale/P.IVA: 	                     Soggetto privo di C.F./P.IVA ☐	
     Stato: 	
     Indirizzo:	
CAP :	Città:	Provincia:	
      Telefono :	
      Email :	
      PEC :	

1 Il titolare del trattamento avvia il processo di notifica pur in assenza di un quadro completo della violazione con riserva di effettuare una successiva notifica integrativa. E’          obbligatoria la compilazione delle sezioni A, B, B1 e C.

 2 Il titolare del trattamento integra una precedente notifica (inserire il numero di fascicolo assegnato alla precedente notifica, se noto)
 3 Indicare nome e cognome nel caso di persona fisica 

Sez. B1 - Dati di contatto per informazioni relative alla violazione	

Indicare i riferimenti del soggetto da contattare per ottenere maggiori informazioni circa la violazione
       
            Responsabile della protezione dei dati4 - prot. n.

            Altro Soggetto5
	Cognome:							Nome:
	E-mail:
	Recapito telefonico per eventuali comunicazioni:
	Funzione rivestita:

Sez. B2 - Ulteriori soggetti coinvolti nel trattamento	

Indicare i riferimenti di ulteriori soggetti coinvolti ed il ruolo svolto (contitolare o responsabile del trattamento6, rappresentante del titolare non stabilito nell’Ue)
 
Denominazione7:
Codice Fiscale/P.IVA:							Soggetto privo di C.F./P.IVA ☐
Ruolo:          Contitolare 		Responsabile			Rappresentante

Denominazione:
Codice Fiscale/P.IVA:							Soggetto privo di C.F./P.IVA ☐
Ruolo:          Contitolare 		Responsabile			Rappresentante

Denominazione:
Codice Fiscale/P.IVA:							Soggetto privo di C.F./P.IVA ☐
Ruolo:          Contitolare 		Responsabile			Rappresentante

4 Qualora designato, indicare il numero di protocollo assegnato alla comunicazione dei dati di contatto del RPD
5 In assenza di un RPD, indicare i riferimenti di un punto di contatto designato per la notifica in questione 
6 In tale tipologia rientra anche il Responsabile individuato ai sensi art. 28, par. 4 
7 Indicare nome e cognome nel caso di persona fisica 

Sez. C - Informazioni di sintesi sulla violazione	

1. Indicare quando è avvenuta la violazione.
	Il
	Dal		(La violazione è ancora in corso)
	Dal		al
	In un tempo non ancora determinato
	
	Ulteriori informazioni circa le date in cui è avvenuta la violazione

	
	
2.Momento in cui il titolare del trattamento è venuto a conoscenza della violazione
	Data: 				Ora:
3. Modalità con la quale il titolare del trattamento è venuto a conoscenza della violazione 
		Il titolare è stato informato dal responsabile del trattamento
		Altro8

	
	
4. In caso di notifica oltre le 72 ore, quali sono i motivi del ritardo?9

5. Breve descrizione della violazione 

8 Ad esempio: Segnalazione da parte di un interessato, comunicazione da parte di terzi, ecc. 
9 Da compilare solo per notifiche tardive.

6. Natura della violazione
☐ a) Perdita di confidenzialità10
☐ b) Perdita di integrità11
☐ c) Perdita di disponibilità12

7. Causa della violazione
☐ Azione intenzionale interna
☐ Azione accidentale interna
☐ Azione intenzionale esterna
☐ Azione accidentale esterna
☐ Sconosciuta
☐ Altro (specificare)

	

8. Categorie di dati personali oggetto di violazione
☐ Dati anagrafici (nome, cognome, sesso, data di nascita, codice fiscale, altro...)
☐ Dati di contatto (indirizzo postale o di posta elettronica, numero di telefono fisso o mobile)
☐ Dati di accesso e di identificazione (username, password, customer ID, altro...)
☐ Dati di pagamento (numero di conto corrente,  dettagli della carta di credito, altro...)
☐ Dati relativi alla fornitura di un servizio di comunicazione elettronica (dati di traffico, dati relativi alla 	      navigazione internet, altro...)
☐ Dati relativi a condanne penali e ai reati o a connessione misure di sicurezza o di prevenzione 
☐ Dati di profilazione

10 Diffusione/ accesso non autorizzato o accidentale 
11 Modifica non autorizzata o accidentale 
12 Impossibilità di accesso,perdita, distruzione non autorizzata o accidentale 
☐ Dati relativi a documenti di identificazione/riconoscimento (carta d'identità, passaporto, patente, CNS, 	     altro...)
☐ Dati di localizzazione
☐ Dati che rivelino l'origine razziale o etnica
☐ Dati che rivelino opinioni politiche 
☐ Dati che rivelino convinzioni religiose o filosofiche
☐ Dati che rivelino l'appartenenza sindacale
☐ Dati relativi alla vita sessuale o all'orientamento sessuale
☐ Dati relativi alla salute
☐ Dati genetici
☐ Dati biometrici
☐ Categorie non ancora determinate
☐ Altro  

9. Indicare il volume (anche approssimativo) dei dati personali oggetto di violazione13
	N. 
	Circa N.
	Un numero (ancora) non definito di dati

10. Categorie di interessati coinvolti nella violazione
☐ Dipendenti/Consulenti
☐ Utenti/Contraenti/Abbonati/Clienti (attuali o potenziali)
☐ Associati, soci, aderenti, simpatizzanti, sostenitori
☐ Soggetti che ricoprono cariche sociali
☐ Beneficiari o assistiti
☐ Pazienti
☐ Minori
☐ Persone vulnerabili (es. vittime di violenze o abusi, rifugiati, richiedenti asilo)

13 Ad esempio numero di referti, numero di record di un database, numero di transazioni registrate. 
☐ Categorie ancora non determinate
☐ Altro (specificare)

☐ Ulteriori dettagli circa le categorie di interessati

11. Numero (anche approssimativo) di interessati coinvolti nella violazione
 	N.	interessati
	Circa n.	interessati
	Un numero (ancora) sconosciuto di interessati

Sez. D - Informazioni di dettaglio sulla violazione	

1. Descrizione dell'incidente di sicurezza alla base della violazione14

	

2. Descrizione delle categorie di dati personali oggetto della violazione15

	

14 Segue punto 5, 6 e 7 della sez. C 
15 Segue punto 8 della sez. C 
3. Descrizione dei sistemi e delle infrastrutture IT coinvolti nell'incidente, con indicazione della loro ubicazione

	

4. Misure di sicurezza tecniche e organizzative adottate per garantire la sicurezza dei dati, dei sistemi e delle infrastrutture IT coinvolti16

	

Sez. E - Informazioni di sintesi sulla violazione	

1. Possibili conseguenze della violazione sugli interessati
 a) In caso di perdita di confidenzialità:17
 ☐ I dati sono stati divulgati al di fuori di quanto previsto dall'informativa ovvero dalla disciplina di 	                  riferimento
 ☐ I dati possono essere correlati, senza sforzo irragionevole, ad altre informazioni relative agli interessati
 ☐ I dati possono essere utilizzati per finalità diverse da quelle previste oppure in modo non lecito
 ☐ Altro (specificare)

	

16 Indicare le misure in essere al momento della violazione 
17 Da compilare solo nel caso in cui è stata selezionata l’opzione a) del punto 6, Sez. C

 b) In caso di perdita di integrità:18
 ☐ I dati sono stati modificati e resi incosistenti
 ☐ I dati sono stati modificati mantenendo la consistenza
 ☐ Altro (specificare)

	

 c) In caso di perdita di disponibilità:19
 ☐ Mancato accesso a servizi
 ☐ Malfunzionamento e difficoltà nell'utilizzo di servizi
 ☐ Altro (specificare)

	

Ulteriori considerazioni sulle possibili conseguenze

2. Potenziali effetti negativi per gli interessati
☐ Perdita del controllo dei dati personali
☐ Limitazione dei diritti
☐ Discriminazione 
☐ Furto o usurpazione d'identità
☐ Frodi
☐ Perdite finanziarie

 18 Da compilare solo nel caso in cui è stata selezionata l’opzione b) del punto 6, Sez. C
19 Da compilare solo nel caso in cui è stata selezionata l’opzione c) del punto 6, Sez. C

☐ Decifratura non autorizzata della pseudonimizzazione
☐ Pregiduzio alla reputazione
☐ Perdita di riservatezza dei dati personali protetti da segreto professionale 
☐ Conoscenza da parte di terzi non autorizzati
Qualsiasi altro danno economico o sociale significativo (specificare)

	

3. Stima della gravità della violazione
	Trascurabile
	Basso
	Medio
	Alto

Indicare le motivazioni

	

Sez. F - Misure adottate a seguito della violazione	

1. Misure tecniche e organizzative adottate (o di cui si propone l'adozione20) per porre rimedio alla                   violazione e ridurne gli effetti negativi per gli interessati

	

20 Nella descrizione distinguere le misure adottate da quelle in corso di adozione 
2. Misure tecniche e organizzative adottate (o di cui si propone l'adozione) per prevenire simili                        violazioni in futuro

	

Sez. G - Comucazione agli interessati	

1. La violazione è stata comunicata agli interessati?
	Si, è stata comunicata il 
	No, sarà comunicata 
			il
			in una data da definire 
	No, sono tuttora in corso le dovute valutazioni21
	No e non sarà comunicata perché:
	          ☐ a) il titolare del trattamento ritiene che la violazione dei dati personali non presenti 		   	                   un rischio elevato per i diritti e le libertà delle persone fisiche;
		      Spiegare le motivazioni

	

21 Selezionando questa opzione, il titolare del trattamento si impegna a effettuare una integrazione alla presente notifica
   		☐ b) il titolare del trattamento ha messo in atto le misure tecniche e organizzative 			                       adeguate di protezione e tali misure erano state applicate ai dati personali                                                                          oggetto della violazione, in particolare quelle destinate a rendere i dati 		                                                             personali incomprensibili a chiunque non sia autorizzato ad accedervi;
		              Descrivere le misure applicate

	

		☐ c) il titolare del trattamento ha successivamente adottato misure atte a scongiurare 			                     il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati;
	                     Descrivere le misure adottate

	

			 ☐ d) detta comunicazione richiederebbe sforzi sproporzionati.
			Descrivere la modalità (comunicazione pubblica o misura simile) tramite la quale                                                             gli  interessati sono stati informati.

	

2. Numero di interessati a cui è stata comunicata la violazione22
	N.	interessati

22 Da compilare solo nel caso in cui al punto 1 venga scelta una delle prime due opzioni.
3. Contenuto della comunicazione agli interessati

	

4. Canale utilizzato per la comunicazione agli interessati
☐ SMS
☐ Posta cartacea
☐ Posta elettronica
☐ Altro (specificare)

	

Sez. H - Altre informazioni	

1.  La violazione coinvolge interessati di altri Paesi dello Spazio Economico Europeo?23
	Si (indicare quali)	

	No

2.  La violazione coinvolge interessati di altri Paesi non appartenenti allo Spazio Economico Europeo?
	Si (indicare quali)	

	No
23 Fanno parte dello Spazio Economico Europeo tutti gli Stati membri della Unione Europea, nonchè l’Islanda, il Liechtenstein e la Norvegia
3.  La violazione è stata notificata ad altre autorità di controllo?24
	Si (indicare quali)

	No

4.  La violazione è stata notificata ad altri organismi di vigilanza o di controllo in virtù di ulteriori                  disposizioni normative?25
	Si (indicare quali)

	No

5.  E' stata effettuata una segnalazione all'autorità giudiziaria o di polizia?
	Si 
	No 

24 Autorità di controllo così come definite ex art. 51 del Regolamento (UE) 2016/679
25 Ad esempio: Regolamento (UE) 910/2014 (eIDAS), d.lgs. 65/2018 attuativo della Direttiva (UE) 2016/1148 (NIS) 
INFORMAZIONI SUL TRATTAMENTO DEI DATI PERSONALI
Ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 si rappresenta che il Garante per la protezione dei dati personali, in qualità di titolare del trattamento (con sede in Piazza Venezia 11, IT-00187, Roma; Email: garante@gpdp.it; PEC: protocollo@pec.gpdp.it; Centralino: +39 06696771), tratterà i dati personali conferiti con il presente modulo, con modalità prevalentemente informatiche e telematiche, per le finalità previste dal Regolamento (UE) 2016/679 e dal Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003,
n. 196 e s.m.i.), in particolare per l'esecuzione dei propri compiti di interesse pubblico o comunque connessi all'esercizio dei propri pubblici poteri attribuiti al Garante dalla disciplina vigente.
Il conferimento dei dati, fermo restando quanto previsto dall'art. 33, par. 4, del  Regolamento  (UE)  2016/679, è obbligatorio e la loro mancata indicazione non consente di ritenere adempiuto il dovere di notificazione della violazione all’autorità di controllo. I dati acquisiti nell'ambito della procedura saranno conservati in conformità alle norme sulla conservazione della documentazione amministrativa.
I dati saranno trattati esclusivamente dal personale e da collaboratori del Garante o delle imprese espressamente designate come responsabili del trattamento. Al di fuori di queste ipotesi, i dati non saranno diffusi, né saranno comunicati a terzi, fatti salvi i casi in cui si renda necessario comunicarli ad altri soggetti coinvolti nell'attività istruttoria e nei casi specificamente previsti dal diritto nazionale o dell'Unione europea.
Gli interessati hanno il diritto di ottenere dal Garante, nei casi previsti, l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che li riguarda o di opporsi al trattamento (artt. 15 e ss. del Regolamento UE 2016/679). L'apposita istanza è presentata contattando il Responsabile della protezione dei dati presso il Garante (Garante per la protezione dei personali - Responsabile della Protezione dei dati personali, Piazza Venezia 11, 00187, Roma, email: rpd@gpdp.it ).
Gli interessati che ritengono che il trattamento dei dati personali a loro riferiti avvenga in violazione di quanto previsto dalla disciplina in materia di protezione dei dati personali hanno il diritto di proporre reclamo al Garante, come previsto dall’art. 77 del Regolamento (UE) 2016/679, o di adire le opportune sedi giudiziarie ai sensi dell’art. art. 79 del Regolamento citato.