Area GDPRGDPR - Data Breach

Sito Web: www.studiobarpi.it

Registro Interno GDPR: SB.it/GDPR-26/07 – 03.08.26

Edizione: n. 1 Stato: Vigente

PREMESSA

La presente Policy definisce le procedure tecniche e organizzative adottate dal Dott. Alessio Barpi (di seguito il «Titolare») per rilevare, gestire, documentare e notificare eventuali violazioni di dati personali (Data Breach) che possano interessare gli utenti dei portali www.studiobarpi.it e www.dirittoincorsia.it.

La Policy integra il Modello Organizzativo Privacy dello Studio e costituisce adempimento del principio di responsabilizzazione (accountability) sancito dall’art. 5, par. 2, GDPR e degli obblighi di notifica e comunicazione di cui agli artt. 33 e 34 del Regolamento.

Essa è redatta nel rispetto delle Linee Guida dell’European Data Protection Board (EDPB) in materia di notifica delle violazioni (Linee Guida 01/2021, già 9/2022) e della metodologia di valutazione del rischio sviluppata da ENISA (European Union Agency for Cybersecurity).

ART. 1 – TITOLARE DEL TRATTAMENTO E REFERENTE

Il Titolare del Trattamento, responsabile ultimo dell’attuazione della presente Policy, è:

Dott. Alessio Barpi

• Qualifica: Titolare dello Studio e dei portali studiobarpi.it e dirittoincorsia.it
• P. IVA: IT03060820994
• Contatto per emergenze Data Breach: gdpr@studiobarpi.it
• PEC: studiobarpi@pec.it

Responsabile della Protezione dei Dati (DPO): Il Titolare, in considerazione della natura e delle dimensioni dell’attività, non ha al momento designato un DPO ai sensi dell’art. 37 GDPR. Le funzioni di punto di contatto per le violazioni dei dati personali sono esercitate direttamente dal Titolare ai recapiti sopra indicati.

ART. 2 – OGGETTO E SCOPO

La presente procedura persegue i seguenti obiettivi:

1. Rilevamento tempestivo: garantire la capacità organizzativa di individuare e segnalare prontamente qualsiasi incidente di sicurezza che coinvolga dati personali;
2. Valutazione standardizzata: uniformare il processo di analisi e classificazione del rischio per i diritti e le libertà delle persone fisiche, secondo la metodologia ENISA e le Linee Guida EDPB;
3. Notifica e comunicazione: disciplinare gli obblighi di notifica all’Autorità di Controllo (art. 33 GDPR), di comunicazione agli interessati (art. 34 GDPR) e di documentazione interna (art. 33, par. 5, GDPR);
4. Accountability: dimostrare, in caso di controllo da parte del Garante o di contenzioso, l’adozione di un sistema organizzativo adeguato alla gestione delle violazioni, in conformità al principio di responsabilizzazione.

ART. 3 – DEFINIZIONE E CLASSIFICAZIONE DEL DATA BREACH

3.1 Definizione

Ai sensi dell’art. 4, par. 1, n. 12), GDPR, per «violazione dei dati personali» (Data Breach) si intende:

«La violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati».

3.2 Classificazione

Le violazioni si distinguono in tre categorie, secondo la tassonomia consolidata a livello europeo:

Una singola violazione può appartenere a più categorie contemporaneamente (es. un ransomware cifra i dati = violazione di disponibilità + potenziale violazione di riservatezza se i dati sono stati esfiltrati).

ART. 4 – AMBITO DI APPLICAZIONE E SOGGETTI COINVOLTI

La presente Policy si applica a tutti i trattamenti di dati personali effettuati dallo Studio Barpi, indipendentemente dal supporto (digitale o cartaceo) e dalla localizzazione (sede, dispositivi mobili, cloud).

Sono tenuti all’osservanza della presente procedura:

• Il Titolare del Trattamento (Dott. Alessio Barpi);
• I collaboratori interni e il personale autorizzato al trattamento ai sensi dell’art. 29 GDPR e dell’art. 2-quaterdecies D.Lgs. 196/2003;
• I fornitori esterni nominati Responsabili del Trattamento ai sensi dell’art. 28 GDPR (es. Aruba S.p.A., gestori IT, consulenti, commercialista), limitatamente agli obblighi di segnalazione di cui all’art. 33, par. 2, GDPR.

ART. 5 – RUOLI E RESPONSABILITÀ

5.1 Titolare del Trattamento

Al Titolare competono in via esclusiva:

• la responsabilità finale di garantire l’attuazione delle misure di sicurezza, la valutazione della gravità della violazione e la decisione in merito alle notifiche e comunicazioni di legge;
• la decisione se la violazione presenti un rischio (che impone la notifica al Garante ex art. 33) o un rischio elevato (che impone anche la comunicazione agli interessati ex art. 34);
• l’esecuzione materiale della notifica al Garante tramite l’apposito portale telematico (servizi.garanteprivacy.it), entro il termine di 72 ore dalla conoscenza della violazione (art. 33, par. 1, GDPR), salvo che la violazione presenti un rischio improbabile per i diritti e le libertà degli interessati.

La giurisprudenza di legittimità ha chiarito che il Titolare risponde anche del fatto colposo dei propri dipendenti e collaboratori (Cass. civ., Sez. I, ord. n. 13073/2023) e che la responsabilità è fondata sulla colpa di organizzazione, intesa come rimprovero derivante dall’inosservanza dell’obbligo di adottare cautele organizzative adeguate (Cass. civ., Sez. I, ord. n. 6642/2023).

5.2 Responsabili Esterni del Trattamento

I fornitori nominati Responsabili del Trattamento ai sensi dell’art. 28 GDPR sono contrattualmente obbligati a notificare al Titolare qualsiasi violazione dei dati personali riscontrata sui propri sistemi senza ingiustificato ritardo dopo esserne venuti a conoscenza (art. 33, par. 2, GDPR). Tale obbligo è inserito in ciascun contratto o atto giuridico di nomina.

 5.3 Personale Interno e Collaboratori

Ogni collaboratore e persona autorizzata al trattamento ha l’obbligo di segnalare immediatamente al Titolare, ai recapiti indicati all’Art. 1, qualsiasi anomalia, incidente o sospetto di violazione, ivi inclusi — a titolo esemplificativo:

• smarrimento o furto di dispositivi (PC, smartphone, tablet, chiavette USB);
• apertura di email sospette o di phishing;
• accessi anomali ai sistemi;
• invio accidentale di dati a destinatari errati;
• impossibilità di accedere a dati o sistemi (sospetto ransomware);
• distruzione o danneggiamento accidentale di supporti cartacei.

La mancata segnalazione integra violazione degli obblighi di riservatezza e può comportare le conseguenze di cui all’Art. 10.

ART. 6 – PROCEDURA OPERATIVA DI GESTIONE (INCIDENT RESPONSE)

La gestione di un Data Breach si articola nelle seguenti cinque fasi operative, da attivarsi in sequenza logica e temporale.

FASE 1 – Rilevamento e Segnalazione

Chiunque rilevi un potenziale incidente di sicurezza che possa configurare una violazione di dati personali deve inviare immediata comunicazione via email a gdpr@studiobarpi.it, fornendo — ove possibile — le seguenti informazioni minime:

• Data e ora della scoperta e, se diversa, data e ora presunta dell’evento;
• Natura dell’evento (furto/smarrimento dispositivo, attacco informatico, invio errato, accesso abusivo, ransomware, phishing);
• Tipologia e volume approssimativo dei dati coinvolti (es. dati anagrafici, dati sanitari, dati fiscali);
• Numero approssimativo di interessati potenzialmente coinvolti;
• Sistemi, supporti o archivi interessati.

La segnalazione può essere effettuata anche verbalmente, ma deve essere senza ritardo formalizzata per iscritto.

FASE 2 – Valutazione Preliminare del Rischio

Il Titolare, ricevuta la segnalazione, effettua una valutazione preliminare entro 24 ore, al fine di determinare:

• la natura, la gravità e l’estensione della violazione;
• le categorie e il volume approssimativo dei dati personali coinvolti;
• il numero approssimativo di interessati interessati;
• il livello di rischio per i diritti e le libertà delle persone fisiche, secondo la seguente scala, in linea con la metodologia ENISA e le Linee Guida EDPB:

fini della valutazione, il Titolare considera in particolare: il tipo di violazione; la natura, la sensibilità e il volume dei dati; la facilità di identificazione degli interessati; la gravità delle conseguenze potenziali; le caratteristiche dell’interessato (es. minori, soggetti vulnerabili); il numero di interessati coinvolti.

Il Titolare documenta per iscritto la valutazione effettuata e le relative motivazioni, anche nel caso in cui ritenga che il rischio sia improbabile e decida di non notificare.

FASE 3 – Azioni di Contenimento e Mitigazione

Immediatamente dopo la valutazione preliminare — e comunque senza attendere l’esito delle notifiche — il Titolare attiva le misure tecniche e organizzative necessarie per contenere il danno e mitigare gli effetti della violazione, tra cui:

• Isolamento dei sistemi compromessi dalla rete;
• Cambio forzato delle credenziali di accesso (password reset) per tutti gli account potenzialmente esposti;
• Attivazione delle procedure di Disaster Recovery e ripristino da backup sicuri e non compromessi;
• Blocco selettivo di servizi, account o porte di rete;
• Messa in sicurezza dei supporti fisici (cartacei o digitali);
• Comunicazione immediata ai Responsabili del Trattamento potenzialmente coinvolti.

FASE 4 – Notifica all’Autorità di Controllo (Art. 33 GDPR)

Se la violazione presenta un rischio per i diritti e le libertà degli interessati (livello Medium o High), il Titolare notifica la violazione al Garante per la Protezione dei Dati Personali:

• entro 72 ore dal momento in cui ne è venuto a conoscenza (art. 33, par. 1, GDPR);
• utilizzando l’apposito portale telematico del Garante (servizi.garanteprivacy.it);
• qualora la notifica non sia effettuata entro 72 ore, è corredata dei motivi del ritardo (art. 33, par. 1, ultimo periodo, GDPR).

La notifica contiene almeno le seguenti informazioni (art. 33, par. 3, GDPR):

Qualora non sia possibile fornire tutte le informazioni contestualmente, possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo (art. 33, par. 4, GDPR).

FASE 5 – Comunicazione agli Interessati (Art. 34 GDPR)

Se la violazione presenta un rischio elevato per i diritti e le libertà degli interessati (livello High), il Titolare comunica la violazione agli interessati senza ingiustificato ritardo (art. 34, par. 1, GDPR), con un linguaggio semplice e chiaro, indicando:

• la natura della violazione;
• il nome e i dati di contatto del punto di contatto (Titolare: gdpr@studiobarpi.it);
• le probabili conseguenze della violazione;
• le misure adottate (o proposte) per porvi rimedio e attenuarne gli effetti negativi;
• le raccomandazioni per gli interessati (es. cambio password, monitoraggio conti).

Eccezioni alla comunicazione. La comunicazione agli interessati non è dovuta nei seguenti casi (art. 34, par. 3, GDPR):

1. Cifratura: il Titolare ha applicato ai dati oggetto della violazione misure di protezione adeguate che li rendono incomprensibili a chiunque non sia autorizzato ad accedervi (es. cifratura, tokenizzazione);
2. Misure successive: il Titolare ha successivamente adottato misure che scongiurano il sopraggiungere di un rischio elevato (es. blocco immediato e irreversibile dei dati prima di qualsiasi accesso abusivo);
3. Sforzi sproporzionati: la comunicazione individuale richiederebbe sforzi sproporzionati. In tal caso, il Titolare procede a una comunicazione pubblica o a misura analoga di analoga efficacia (es. comunicato stampa, avviso sul Sito, inserzioni sui media).

Il Titolare documenta per iscritto le ragioni dell’eventuale decisione di non comunicare la violazione agli interessati.

ART. 7 – REGISTRO DELLE VIOLAZIONI (DATA BREACH LOG)

In ottemperanza all’art. 33, par. 5, GDPR, il Titolare tiene e aggiorna un apposito Registro delle Violazioni dei Dati Personali, che documenta tutte le violazioni — anche quelle non notificate al Garante perché ritenute a rischio improbabile — e contiene per ciascuna di esse:

• la data e ora in cui la violazione è stata rilevata e, se nota, in cui si è verificata;
• la data e ora in cui il Titolare ne è venuto a conoscenza (momento da cui decorrono le 72 ore);
• la descrizione delle circostanze della violazione (natura, causa, estensione);
• le categorie e il volume approssimativo dei dati personali e degli interessati coinvolti;
• le conseguenze della violazione (effettive e potenziali);
• la valutazione del rischio effettuata e la relativa motivazione;
• i provvedimenti adottati per porre rimedio alla violazione e mitigarne gli effetti;
• l’eventuale notifica al Garante (con data e contenuto);
• l’eventuale comunicazione agli interessati (con modalità e data);
• le azioni correttive adottate per prevenire il ripetersi di violazioni analoghe.

Il Registro è conservato per un periodo di 5 anni dall’ultima registrazione e tenuto a disposizione dell’Autorità di Controllo per la verifica della conformità.

ART. 8 – SANZIONI PER OMESSA O TARDIVA NOTIFICA

Si richiama l’attenzione sul quadro sanzionatorio previsto dal GDPR:

• la violazione degli obblighi di notifica al Garante (art. 33) e di comunicazione agli interessati (art. 34) è soggetta a sanzioni amministrative pecuniarie fino a 10.000.000 euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (art. 83, par. 4, lett. a), GDPR);
• le sanzioni sono commisurate, caso per caso, in base ai criteri dell’art. 83, par. 2, GDPR: natura, gravità e durata della violazione; carattere doloso o colposo; misure adottate per attenuare il danno; grado di responsabilità; grado di cooperazione con l’Autorità; categorie di dati coinvolte; modalità con cui l’Autorità ha preso conoscenza della violazione (Cass. civ., Sez. I, ord. n. 27189/2023).

ART. 9 – FORMAZIONE E CONSAPEVOLEZZA

Lo Studio promuove la cultura della sicurezza dei dati attraverso:

• formazione periodica dei collaboratori in materia di protezione dei dati personali e sicurezza informatica, con particolare attenzione al riconoscimento di minacce (phishing, social engineering, ransomware);
• istruzioni operative specifiche sulla presente Procedura e sulle modalità di segnalazione degli incidenti;
• aggiornamento annuale della formazione, in occasione della revisione della presente Policy.

La formazione ha l’obiettivo di garantire che ogni collaboratore sia in grado di: riconoscere un potenziale Data Breach, attivare tempestivamente la procedura di segnalazione e adottare le prime misure di auto-protezione.

ART. 10 – SANZIONI INTERNE E CONSEGUENZE CONTRATTUALI

La mancata osservanza delle procedure di sicurezza e di segnalazione descritte nella presente Policy:

• da parte dei collaboratori interni, costituisce grave inadempimento degli obblighi di diligenza e riservatezza e può comportare l’applicazione di sanzioni disciplinari secondo il CCNL applicabile, nonché l’eventuale richiesta di risarcimento danni;
• da parte dei fornitori e Responsabili Esterni, costituisce grave inadempimento contrattuale e può comportare la risoluzione del contratto di nomina ai sensi dell’art. 28 GDPR e la richiesta di risarcimento danni, fermi restando gli obblighi di notifica di cui all’art. 33, par. 2, GDPR.

ART. 11 – CONSERVAZIONE DEI DATI RELATIVI ALLA GESTIONE DEL BREACH

I dati personali raccolti e trattati nell’ambito della gestione di un Data Breach (dati dei segnalanti, degli interessati coinvolti, dei responsabili della violazione, comunicazioni con il Garante) sono trattati sulla base dell’obbligo legale di cui all’art. 6, par. 1, lett. c), GDPR e conservati per il periodo di 5 anni dalla chiusura della pratica, in coerenza con il termine di conservazione del Registro delle Violazioni (Art. 7). Decorso tale termine, i dati sono cancellati o resi anonimi.

ART. 12 – AGGIORNAMENTI E CONTATTI

La presente Policy è soggetta a revisione annuale ordinaria, nonché a revisione straordinaria in occasione di:

• modifiche normative o regolamentari rilevanti (GDPR, provvedimenti del Garante, Linee Guida EDPB);
• significative innovazioni tecnologiche o modifiche dell’infrastruttura IT dello Studio;
• emersione di criticità a seguito di un Data Breach effettivamente occorso.

Contatti per segnalazioni e chiarimenti:

• Email: gdpr@studiobarpi.it
• PEC: studiobarpi@pec.it

Ultimo aggiornamento: 03 agosto 2026

ALLEGATO – SCHEDA SINTETICA DI PRONTO INTERVENTO

(Da affiggere in sede o conservare su supporto digitale di rapido accesso per tutti i collaboratori)

72 ore è il termine massimo per notificare il Garante: il conteggio parte dal momento in cui il Titolare ha avuto conoscenza della violazione. Non ritardare la segnalazione interna.

Data ultimo aggiornamento modulo: 03 agosto 2026