La procedura di gestione delle violazioni di dati personali

L’allegato alla deliberazione della Giunta regionale n. 51/3 del 16.10.2018 regolamenta, in conformità al Regolamento (UE) 2016/679, la procedura di gestione delle violazioni di dati personali che riguardano l’Amministrazione regionale.
Qualsiasi dipendente o collaboratore dell’amministrazione regionale, nel momento in cui viene a conoscenza di un episodio di potenziale violazione di dati personali, dà immediata comunicazione al delegato del titolare e al dirigente responsabile della struttura presso la quale presta servizio.
Se dalla prima analisi da parte del delegato del titolare emergono elementi tali da escludere la possibile violazione dei dati personali, l’anomalia viene gestita all’interno della struttura interessata.
Se, invece, il delegato del titolare ritiene o ha il dubbio che l’evento segnalato possa configurarsi come violazione tale da creare un rischio elevato per i diritti e le libertà degli interessati, procede senza indugio a segnalare l’episodio ad un gruppo di intervento costituito dai seguenti soggetti:

• il referente per le violazione dei dati personali (referente del data breach) per il supporto giuridico/procedurale;
• il Responsabile IT dell’amministrazione regionale (se il fatto ha ad oggetto la sicurezza informatica);
• il RPD;
• il Direttore generale e il referente privacy della struttura coinvolta per il supporto.
  In caso di constatazione di violazione dei dati personali, il Referente data breach cura, nel rispetto dei termini prescritti, la notifica della violazione all’Autorità Garante e, ricorrendone i presupposti normativi, agli interessati.
  Il RPD ha messo a disposizione del Titolare:
• una metodologia per la valutazione della gravità delle violazioni dei dati personali, definita dall’ENISA (European union agency of Network and information security) all’interno del documento “Recommendations for a methodology of the assessment of severity of personal data breaches” (disponibile nel Registro delle attività di trattamento);
• un modello breve per la comunicazione della possibile violazione al RPD e al gruppo di intervento.

Per ulteriori approfondimenti, si rinvia al seguente link alla pagina informativa dell’Autorità Garante per la protezione dei dati personali: https://garanteprivacy.it/data-breach
Le Linee guida del Gruppo di lavoro Articolo 29 in materia di notifica delle violazioni di dati personali (data breach notification) WP250 sono disponibili al seguente link: https://ec.europa.eu/newsroom/article29/items/612052