Procedura "Data Breach" per la segnalazione della violazione di dati personali
Le modalità operative descritte di seguito riguardano segnalazioni di violazioni di dati personali da parte di soggetti esterni all'Università degli Studi di Torino e sono un estratto della "Procedura Data Breach" pubblicato sulla Intranet di Ateneo.
“Data Breach” è la violazione dei dati personali: la violazione di sicurezza che comporta incidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati (art. 4 par. 1 n. 12 GDPR).
Le violazioni possono essere classificate in base ai seguenti tre principi relativi alla sicurezza delle informazioni:
- violazione della riservatezza o della confidenzialità: si verifica in caso di divulgazione o accesso non autorizzato o accidentale di dati personali
- violazione dell’integrità: si verifica in caso di modifica non autorizzata o accidentale di dati personali
- violazione della disponibilità: si verifica in caso di perdita, accesso o distruzione accidentali o non autorizzati di dati personali
Per incidente di sicurezza si intende una serie di uno o più eventi anomali non desiderati che possano compromettere lo svolgimento delle normali attività dell’Università e minacciare la sicurezza delle informazioni, avendo effetti negativi sulla loro confidenzialità, integrità e disponibilità con impatto di rischio sui diritti e le libertà delle persone fisiche (art. 33 del GDPR).
La procedura fornisce le modalità operative da attuare per segnalare casi di possibile violazione di dati personali (concreta, potenziale o sospetta) da soggetti esterni all’Ateneo (studenti, cittadini, imprese e altri enti pubblici). Gli studenti si intendono esterni esclusivamente ai fini della presente procedura di rilevazione delle violazioni dei dati personali.
La procedura per segnalare una violazione per il personale dipendente di UniTo (personale TA, docenti, dottorandi, assegnisti, ecc.) è riportata sulla intranet, alla pagina Modulistica privacy / paragrafo "Data breach - Comunicazione di violazione di dati".
Il soggetto segnalante è sempre tenuto a fornire le proprie generalità, alcuni dati di contatto e a collaborare durante le fasi istruttorie della procedura.
Il cittadino o qualunque soggetto esterno alla comunità universitaria, qualora riscontri l’ipotesi anche solo eventuale di violazione di dati personali riferiti all’Università degli Studi di Torino, può segnalare l’evento:
- di persona, rivolgendosi direttamente alla Sezione Eventi e Infopoint
- inviando una email all’indirizzo violazioni.dati@unito.it con i propri dati di contatto e rendendosi disponibile in caso di successive eventuali indagini.
Il personale dipendente di UniTo (personale TA, docenti, dottorandi, assegnisti, ecc.) per segnalare una violazione deve seguire le indicazioni riportate sulla intranet, alla pagina Modulistica privacy / paragrafo "Data breach - Comunicazione di violazione di dati".
La violazione dei dati segnalata all'Università dall'utente esterno avvia un processo di verifica e accertamento: l'iter prevede comunicazioni tempestive ai soggetti con ruoli di responsabilità a più livelli e l'avvio di azioni di indagine che mirano ad accertare la natura dell’incidente e valutare il rischio e la gravità dell’evento, secondo modalità e nel rispetto delle tempistiche stabilite dal Regolamento europeo per la protezione dei dati personali (GDPR).
A seguito delle operazioni di analisi della violazione e valutazione dei rischi (per i soggetti interessati), a seconda della gravità dell'evento è prevista anche la notifica all'Autorità Garante e la comunicazione ai soggetti interessati.