In questa pagina è possibile trovare un fac simile registro data breach Word, Excel e PDF da scaricare e compilare.
Indice
Come si Compila il Registro Data Breach
Il registro data breach è il documento utilizzato dal titolare del trattamento per annotare e descrivere le violazioni di dati personali avvenute all’interno della propria organizzazione. La sua tenuta permette di dimostrare che ogni incidente è stato individuato, analizzato e gestito nel rispetto del Regolamento europeo sulla protezione dei dati. Non deve essere confuso con il registro dei trattamenti privacy previsto dall’articolo 30 del GDPR, poiché i due documenti hanno finalità e contenuti differenti.
Per data breach si intende una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali. Rientrano nella definizione anche gli eventi che compromettono soltanto la disponibilità dei dati, come la perdita di un archivio non recuperabile o il blocco prolungato di informazioni necessarie per fornire un servizio. Un semplice incidente informatico non costituisce automaticamente un data breach, se non coinvolge dati personali o non ne compromette la riservatezza, l’integrità o la disponibilità. L’obbligo di documentazione deriva dall’articolo 33, paragrafo 5, del Regolamento UE 2016/679. La disposizione richiede al titolare di documentare qualsiasi violazione di dati personali, comprese le circostanze nelle quali si è verificata, le conseguenze prodotte e i provvedimenti adottati per porvi rimedio. La documentazione deve essere sufficientemente completa da consentire all’autorità di controllo di verificare il rispetto della normativa. Il GDPR non impone un modello prestabilito, ma il registro costituisce lo strumento più ordinato per adempiere a questo obbligo.
Nel registro devono essere annotate tutte le violazioni accertate, comprese quelle che non vengono notificate al Garante e quelle che non richiedono una comunicazione agli interessati. Come chiarito dal Garante per la protezione dei dati personali, l’obbligo di documentazione sussiste indipendentemente dal livello di rischio generato dall’evento. Quando il titolare ritiene che la notifica non sia necessaria, è opportuno riportare anche le motivazioni della decisione, indicando gli elementi considerati nella valutazione del rischio. Questa informazione permette di ricostruire il processo decisionale in caso di un successivo controllo. Ogni registrazione dovrebbe identificare l’incidente con un numero progressivo e riportare la data in cui si è verificato, la data della sua scoperta e il momento in cui il titolare ne ha acquisito una ragionevole certezza. Devono essere descritte la natura della violazione, la causa conosciuta o presunta, i sistemi coinvolti, le categorie di dati compromessi, le categorie e il numero approssimativo degli interessati, oltre che il numero approssimativo delle registrazioni interessate. È inoltre necessario indicare le possibili conseguenze per le persone fisiche, le misure adottate per contenere l’incidente e gli interventi programmati per impedirne la ripetizione. Il momento nel quale il titolare viene a conoscenza della violazione è particolarmente importante perché da esso decorre il termine per l’eventuale notifica. Ai sensi dell’articolo 33 del GDPR, quando la violazione può presentare un rischio per i diritti e le libertà delle persone fisiche, il titolare deve notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore. Se la notifica viene effettuata oltre tale termine, devono essere spiegate le ragioni del ritardo. Quando non tutte le informazioni sono immediatamente disponibili, la normativa consente di fornirle in fasi successive, senza ulteriori ritardi ingiustificati.
Se il rischio per gli interessati è elevato, può rendersi necessaria anche la comunicazione prevista dall’articolo 34 del GDPR. Il registro dovrebbe quindi specificare se la violazione è stata notificata al Garante, quando è stata trasmessa la notifica e se sono state inviate successive integrazioni. Deve essere annotata anche l’eventuale comunicazione agli interessati o la ragione per cui questa non è stata ritenuta necessaria. Le Linee guida 9/2022 dell’EDPB forniscono indicazioni utili per valutare il rischio e gestire correttamente gli obblighi di notifica. La responsabilità della corretta tenuta del registro rimane in capo al titolare del trattamento, anche quando la gestione operativa viene affidata al responsabile della protezione dei dati, all’ufficio privacy o al personale addetto alla sicurezza informatica. Il responsabile del trattamento che rileva una violazione relativa ai dati gestiti per conto del titolare deve informarlo senza ingiustificato ritardo, fornendo le informazioni necessarie per la valutazione. Tempi, modalità e referenti della segnalazione dovrebbero essere definiti nel contratto previsto dall’articolo 28 del GDPR e nelle procedure interne.
Il registro può essere conservato in formato cartaceo o elettronico, purché sia aggiornato, protetto da accessi non autorizzati e facilmente consultabile in caso di verifica. Il GDPR non stabilisce un termine unico di conservazione, che deve quindi essere definito dal titolare in modo ragionato, tenendo conto delle esigenze di accountability, dei termini di prescrizione e della natura dei trattamenti. È opportuno aggiornare la registrazione anche dopo la chiusura dell’incidente, inserendo l’esito delle verifiche, le misure definitive adottate e ogni ulteriore informazione emersa successivamente.
Esempio di Registro Data Breach
Di seguito è possibile trovare un esempio di registro data breach.
Registro delle violazioni dei dati personali
Registro data breach predisposto ai sensi dell’articolo 33, paragrafo 5, del Regolamento (UE) 2016/679.
| Titolare del trattamento | [DENOMINAZIONE O RAGIONE SOCIALE] |
| Sede | [INDIRIZZO COMPLETO] |
| Codice fiscale o Partita IVA | [INSERIRE] |
| Referente del registro | [NOME, FUNZIONE E RECAPITI] |
| RPD o DPO, se designato | [NOME E RECAPITI] |
| Data di adozione | [GG/MM/AAAA] |
| Versione del registro | [NUMERO VERSIONE] |
| Criterio di conservazione | [INDICARE IL PERIODO O IL CRITERIO ADOTTATO] |
Il presente registro documenta tutte le violazioni di dati personali rilevate dal titolare del trattamento, comprese quelle per le quali non è stata effettuata la notifica al Garante per la protezione dei dati personali o la comunicazione agli interessati. Per ogni evento devono essere registrati i fatti, le conseguenze, le valutazioni compiute e le misure adottate, in modo da consentire all’autorità di controllo di verificare il rispetto della normativa.
Deve essere aperta una scheda quando emerge un incidente che potrebbe aver coinvolto dati personali. Il documento deve distinguere il momento della prima segnalazione da quello in cui il titolare ha acquisito una ragionevole certezza dell’avvenuta violazione. Da quest’ultimo momento decorre il termine previsto per l’eventuale notifica all’autorità di controllo.
Indice riepilogativo delle violazioni
Inserire una riga per ogni evento e collegarla alla corrispondente scheda dettagliata. Le righe della tabella possono essere duplicate nell’editor di WordPress.
| ID | Data di conoscenza | Descrizione sintetica | Rischio | Notifica al Garante | Comunicazione agli interessati | Chiusura |
|---|---|---|---|---|---|---|
| [DB-ANNO-N.] | [GG/MM/AAAA] | [DESCRIZIONE] | [IMPROBABILE/RISCHIO/ELEVATO] | [SÌ/NO] | [SÌ/NO] | [GG/MM/AAAA] |
Controllo e gestione del registro
| Responsabile dell’aggiornamento | [NOME E FUNZIONE] |
| Frequenza del riesame | [INDICARE] |
| Data dell’ultimo riesame | [GG/MM/AAAA] |
| Esito del riesame | [DESCRIVERE] |
| Ubicazione o sistema di conservazione | [INDICARE] |
| Soggetti autorizzati all’accesso | [INDICARE] |
Scheda dettagliata della violazione
| ID violazione | [DB-ANNO-N.] | Stato | [ ] APERTA [ ] IN ANALISI [ ] CHIUSA |
| Versione della scheda | [INSERIRE] | Ultimo aggiornamento | [GG/MM/AAAA, ORA] |
A. Identificazione, segnalazione e cronologia
| Soggetto segnalante | [NOME, FUNZIONE, STRUTTURA E RECAPITI] |
| Canale e riferimento della segnalazione | [E-MAIL, TICKET, PROTOCOLLO, TELEFONO O ALTRO] |
| Data e ora dell’evento | [INDICARE, SE NOTE, ANCHE L’INTERVALLO TEMPORALE STIMATO] |
| Data e ora della rilevazione | [GG/MM/AAAA, ORA] |
| Data e ora della prima segnalazione | [GG/MM/AAAA, ORA] |
| Data e ora della ragionevole certezza | [MOMENTO IN CUI È STATO ACCERTATO IL COINVOLGIMENTO DI DATI PERSONALI] |
| Termine indicativo delle 72 ore | [GG/MM/AAAA, ORA] |
| Responsabile della gestione | [NOME, RUOLO E RECAPITI] |
| Coinvolgimento del RPD o DPO | [ ] SÌ [ ] NO DATA E ORA: [INSERIRE] |
| Cronologia degli eventi e degli aggiornamenti | [RIPORTARE IN ORDINE TEMPORALE I FATTI, LE DECISIONI, LE ATTIVITÀ SVOLTE E LE NUOVE INFORMAZIONI. INDICARE DATA, ORA E AUTORE DI OGNI AGGIORNAMENTO.] |
B. Qualificazione e descrizione dell’evento
| Esito della qualificazione | [ ] VIOLAZIONE DI DATI PERSONALI CONFERMATA [ ] INCIDENTE NON QUALIFICATO COME DATA BREACH [ ] VALUTAZIONE IN CORSO |
| Motivazione della qualificazione | [DESCRIVERE LE EVIDENZE E LE RAGIONI DELLA DECISIONE] |
| Tipo di violazione | [ ] RISERVATEZZA [ ] INTEGRITÀ [ ] DISPONIBILITÀ |
| Descrizione dei fatti | [DESCRIVERE COSA È ACCADUTO, COME È STATO SCOPERTO L’EVENTO, LA DURATA, IL PERIMETRO E I SISTEMI O PROCESSI COINVOLTI. DISTINGUERE I FATTI ACCERTATI DALLE STIME E DALLE IPOTESI.] |
| Causa o vettore della violazione | [ERRORE UMANO, ACCESSO NON AUTORIZZATO, MALWARE, PERDITA O FURTO, ERRORE DI CONFIGURAZIONE, GUASTO, DIVULGAZIONE INDEBITA O ALTRA CAUSA] |
C. Dati personali e interessati coinvolti
| Trattamenti o processi coinvolti | [INDICARE IL RIFERIMENTO AL REGISTRO DELLE ATTIVITÀ DI TRATTAMENTO] |
| Sistemi, archivi o supporti coinvolti | [APPLICAZIONI, BANCHE DATI, E-MAIL, DOCUMENTI CARTACEI, DISPOSITIVI O SERVIZI] |
| Categorie di dati personali | [DATI IDENTIFICATIVI, RECAPITI, DATI FINANZIARI, CREDENZIALI, LOCALIZZAZIONE, IMMAGINI O ALTRO] |
| Categorie particolari di dati ai sensi dell’articolo 9 GDPR | [ ] NO [ ] SÌ, SPECIFICARE SENZA RIPORTARE DATI PERSONALI NON NECESSARI: [INSERIRE] |
| Dati relativi a condanne penali o reati | [ ] NO [ ] SÌ, SPECIFICARE: [INSERIRE] |
| Misure di protezione già applicate | [CIFRATURA, PSEUDONIMIZZAZIONE, CONTROLLO DEGLI ACCESSI, BACKUP, TOKENIZZAZIONE O ALTRO] |
| Chiavi o credenziali compromesse | [ ] NO [ ] SÌ [ ] NON NOTO DETTAGLI: [INSERIRE] |
| Categorie di interessati | [DIPENDENTI, CLIENTI, UTENTI, MINORI, PAZIENTI, FORNITORI, RICHIEDENTI O ALTRO] |
| Presenza di interessati vulnerabili | [ ] NO [ ] SÌ [ ] NON NOTO DETTAGLI: [INSERIRE] |
| Numero approssimativo degli interessati | [NUMERO, INTERVALLO E METODO DI STIMA] |
| Numero approssimativo delle registrazioni | [NUMERO, INTERVALLO E METODO DI STIMA] |
| Stati interessati e natura transfrontaliera | [INDICARE GLI STATI DELLO SPAZIO ECONOMICO EUROPEO COINVOLTI E L’EVENTUALE AUTORITÀ CAPOFILA] |
| Attendibilità e limitazioni delle stime | [INDICARE I DATI ANCORA DA CONFERMARE, LE FONTI, I CRITERI DI CALCOLO E LE ATTIVITÀ NECESSARIE PER DEFINIRE IL PERIMETRO] |
D. Valutazione del rischio per i diritti e le libertà
| Conseguenze possibili o già verificatesi | [VALUTARE LA POSSIBILE PERDITA DI CONTROLLO SUI DATI, IL FURTO D’IDENTITÀ, LA FRODE, IL DANNO ECONOMICO O REPUTAZIONALE, LA DISCRIMINAZIONE, LA COMPROMISSIONE DEL SEGRETO PROFESSIONALE O L’INDISPONIBILITÀ DI SERVIZI ESSENZIALI] |
| Probabilità delle conseguenze | [ ] BASSA [ ] MEDIA [ ] ALTA MOTIVAZIONE: [INSERIRE] |
| Gravità delle conseguenze | [ ] BASSA [ ] MEDIA [ ] ALTA MOTIVAZIONE: [INSERIRE] |
| Rischio complessivo | [ ] È IMPROBABILE CHE PRESENTI UN RISCHIO [ ] PRESENTA UN RISCHIO [ ] PRESENTA UN RISCHIO ELEVATO |
| Metodo e criteri utilizzati | [DESCRIVERE IL METODO, LE FONTI E LE PERSONE CONSULTATE] |
| Parere del RPD o DPO | [DATA, SINTESI E RIFERIMENTO AL DOCUMENTO. SE NON RICHIESTO O NON DISPONIBILE, INDICARNE LA RAGIONE] |
| Motivazione conclusiva | [SPIEGARE COME LA NATURA DELLA VIOLAZIONE, LE CATEGORIE DI DATI, GLI INTERESSATI, LE MISURE DI PROTEZIONE, LA PROBABILITÀ E LA GRAVITÀ HANNO DETERMINATO IL LIVELLO DI RISCHIO] |
E. Contenimento, rimedio e prevenzione
| Misure immediate di contenimento | [DESCRIVERE LE AZIONI ESEGUITE, LE DATE E GLI ESITI, COME ISOLAMENTO DEI SISTEMI, REVOCA DEGLI ACCESSI, CAMBIO DELLE CREDENZIALI, BLOCCO DEGLI INVII O RECUPERO DEI DOCUMENTI] |
| Misure per limitare gli effetti sugli interessati | [DESCRIVERE LE MISURE ADOTTATE O PROPOSTE PER RIDURRE IL RISCHIO E LE CONSEGUENZE NEGATIVE] |
| Ripristino e verifica dell’integrità o disponibilità | [INDICARE TEMPI, FONTI DI RIPRISTINO, CONTROLLI EFFETTUATI, ESITO E DATA DI RITORNO ALLA NORMALE OPERATIVITÀ] |
Azioni correttive e preventive
| Azione | Responsabile | Scadenza | Stato | Verifica di efficacia |
|---|---|---|---|---|
| [DESCRIVERE] | [NOME O FUNZIONE] | [GG/MM/AAAA] | [DA AVVIARE/IN CORSO/COMPLETATA] | [ESITO E DATA] |
F. Decisione e notifica al Garante
| Decisione | [ ] NOTIFICA NECESSARIA [ ] NOTIFICA NON NECESSARIA [ ] DECISIONE PROVVISORIA O IN ATTESA |
| Motivazione della decisione | [MOTIVARE LA DECISIONE SULLA BASE DELLA VALUTAZIONE DEL RISCHIO E INDICARE CHI L’HA APPROVATA] |
| Autorità di controllo competente | [GARANTE PER LA PROTEZIONE DEI DATI PERSONALI O ALTRA AUTORITÀ CAPOFILA] |
| Notifica iniziale | [ ] NON EFFETTUATA [ ] EFFETTUATA DATA E ORA: [INSERIRE] |
| Riferimento o protocollo | [INSERIRE] |
| Rispetto del termine | [ ] ENTRO 72 ORE [ ] OLTRE 72 ORE [ ] NON APPLICABILE |
| Motivi dell’eventuale ritardo | [COMPILARE SE LA NOTIFICA È STATA EFFETTUATA OLTRE IL TERMINE] |
| Notifica effettuata in fasi | [ ] NO [ ] SÌ INFORMAZIONI MANCANTI E PROGRAMMA DELLE INTEGRAZIONI: [INSERIRE] |
| Notifiche integrative | [INDICARE DATE, PROTOCOLLI E CONTENUTO ESSENZIALE DELLE INTEGRAZIONI] |
| Riscontri o prescrizioni dell’autorità | [DATA, RIFERIMENTO E AZIONI CONSEGUENTI] |
G. Comunicazione agli interessati
| Decisione | [ ] COMUNICAZIONE NECESSARIA [ ] COMUNICAZIONE NON NECESSARIA [ ] COMUNICAZIONE PUBBLICA O MISURA EQUIVALENTE [ ] DECISIONE IN CORSO |
| Base della decisione | [ ] ASSENZA DI RISCHIO ELEVATO [ ] DATI RESI INCOMPRENSIBILI [ ] MISURE SUCCESSIVE CHE ELIMINANO IL RISCHIO ELEVATO [ ] SFORZO SPROPORZIONATO [ ] ALTRO: [SPECIFICARE] |
| Motivazione | [MOTIVARE CON RIFERIMENTO AL RISCHIO ELEVATO E, SE PERTINENTE, ALLE CONDIZIONI PREVISTE DALL’ARTICOLO 34, PARAGRAFO 3, GDPR] |
| Approvazione | [NOMINATIVO, FUNZIONE, DATA E RIFERIMENTO] |
| Data e ora della comunicazione | [GG/MM/AAAA, ORA] |
| Categorie e numero di destinatari | [INSERIRE] |
| Canale utilizzato | [E-MAIL, PEC, POSTA, PORTALE, TELEFONO, COMUNICAZIONE PUBBLICA O ALTRO] |
| Contenuto e raccomandazioni | [DESCRIVERE O RINVIARE ALL’ALLEGATO, INDICANDO LA NATURA DELLA VIOLAZIONE, LE POSSIBILI CONSEGUENZE, IL PUNTO DI CONTATTO, LE MISURE ADOTTATE E LE RACCOMANDAZIONI PER GLI INTERESSATI] |
| Esito e mancati recapiti | [INDICARE L’ESITO DELLE COMUNICAZIONI E LE EVENTUALI AZIONI SUCCESSIVE] |
H. Responsabili del trattamento, contitolari e terzi
Ruolo dell’organizzazione |
[ ] TITOLARE [ ] CONTITOLARE [ ] RESPONSABILE [ ] ALTRO |
Segnalazione ricevuta da un responsabile |
[ ] NO [ ] SÌSOGGETTO, DATA, ORA, CONTRATTO E INFORMAZIONI RICEVUTE: [INSERIRE] |
Titolari informati dal responsabile |
[SE L’ORGANIZZAZIONE AGISCE COME RESPONSABILE, INDICARE I TITOLARI INFORMATI, LA DATA, L’ORA, IL CANALE E IL RISCONTRO] |
Contitolari coinvolti |
[INDICARE I SOGGETTI, LA RIPARTIZIONE DELLE RESPONSABILITÀ E LE COMUNICAZIONI EFFETTUATE] |
Sub-responsabili o fornitori |
[INDICARE I SOGGETTI COINVOLTI, GLI OBBLIGHI CONTRATTUALI, LE NOTIFICHE, LE INDAGINI E LE MISURE RICHIESTE] |
Altri destinatari istituzionali |
[ACN O CSIRT, FORZE DELL’ORDINE, ASSICURAZIONE, AUTORITÀ SETTORIALI O ALTRI SOGGETTI. INDICARE LA BASE E I RIFERIMENTI] |
I. Evidenze, chiusura e riesame
| Evidenze e documenti collegati | [ELENCARE TICKET, LOG, RELAZIONI TECNICHE, COPIE DELLE NOTIFICHE, COMUNICAZIONI, VERBALI, PARERI, DENUNCE, SCREENSHOT E ALTRI ALLEGATI. EVITARE DI DUPLICARE NEL REGISTRO DATI PERSONALI NON NECESSARI.] |
| Stato delle azioni correttive | [ ] COMPLETATE [ ] IN CORSO [ ] PARZIALI DETTAGLI: [INSERIRE] |
| Rischio residuo | [DESCRIVERE IL RISCHIO RIMANENTE DOPO LE MISURE ADOTTATE] |
| Data e ora di chiusura | [GG/MM/AAAA, ORA] |
| Responsabile della chiusura | [NOME, FUNZIONE E FIRMA O APPROVAZIONE ELETTRONICA] |
| Riesame del RPD o DPO | [DATA, ESITO E RIFERIMENTO, SE APPLICABILE] |
| Data prevista per il follow-up | [GG/MM/AAAA] |
| Esito del follow-up | [COMPILARE DOPO IL RIESAME] |
| Lezioni apprese | [INDICARE LE CAUSE ORGANIZZATIVE O TECNICHE EMERSE E LE MODIFICHE APPORTATE A PROCEDURE, FORMAZIONE, CONTRATTI, MISURE DI SICUREZZA, DPIA O REGISTRO DELLE ATTIVITÀ DI TRATTAMENTO] |
Approvazioni
| Ruolo | Nominativo | Data | Firma o riferimento |
|---|---|---|---|
| Responsabile della gestione | [NOME E COGNOME] | [GG/MM/AAAA] | [FIRMA O RIFERIMENTO] |
| RPD o DPO, se coinvolto | [NOME E COGNOME] | [GG/MM/AAAA] | [FIRMA O RIFERIMENTO] |
| Titolare o soggetto autorizzato | [NOME E COGNOME] | [GG/MM/AAAA] | [FIRMA O RIFERIMENTO] |
Note di utilizzo
Avvertenza: il presente documento costituisce un fac simile generale e deve essere adattato alla struttura organizzativa, ai trattamenti effettuati, ai ruoli privacy, alle procedure di gestione degli incidenti e agli eventuali obblighi settoriali applicabili. Non sostituisce la valutazione professionale del singolo evento né la procedura telematica predisposta dall’autorità di controllo.
Il GDPR non stabilisce un unico termine di conservazione del registro delle violazioni. Il titolare deve definire e documentare un criterio coerente con il principio di responsabilizzazione, le esigenze probatorie, gli eventuali termini applicabili e il principio di limitazione della conservazione. L’accesso deve essere riservato ai soggetti autorizzati e il documento deve essere protetto contro modifiche, perdita e consultazioni non autorizzate.
Fac Simile Registro Data Breach Word da Scaricare
In questa sezione è presente un modello registro data breach da scaricare. Il modulo registro data breach compilabile messo a disposizione è in formato DOC, può quindi essere aperto e compilato utilizzando Word o un altro programma che supporta questo formato.
La compilazione è molto semplice, basta infatti inserire i dati mancanti negli spazi presenti nel documento.
Una volta compilato, il fac simile registro data breach può essere convertito in PDF o stampato.
Modello Registro Data Breach PDF
Di seguito viene messo a diposizione un modello registro data breach editabile da compilare.
Modello Registro Data Breach Excel
In questa sezione è presente un fac simile registro data breach Excel da scaricare.