Procedura di gestione delle violazioni dei dati
Data breach response — art. 33 e 34 GDPR
Ultimo aggiornamento: 18 agosto 2026 — Versione: 1.0
1. Cosa è una violazione
Qualsiasi evento di sicurezza che comporti in modo accidentale o illecito la distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali trattati sulla piattaforma: accessi non autorizzati, invii di email al destinatario sbagliato, esposizione di dati tramite API, perdita di credenziali, ransomware, cancellazioni non volute.
2. Segnalazione
- Chiunque (staff dello studio, paziente, ricercatore di sicurezza) può segnalare un incidente a security@bookimed.it, indicando data/ora, descrizione, dati potenzialmente coinvolti.
- Gli eventi rilevati automaticamente (anomalie negli audit log, errori applicativi, alert dei fornitori) generano una segnalazione interna immediata.
3. Tempistiche
| Fase | Tempo massimo |
|---|---|
| Presa in carico e triage iniziale | 4 ore dalla segnalazione |
| Contenimento e messa in sicurezza | 24 ore |
| Notifica al titolare (studio) da parte di Bookimed | 24 ore dalla conoscenza |
| Notifica del titolare al Garante, se rischio per i diritti | 72 ore dalla conoscenza (art. 33) |
| Comunicazione agli interessati, se rischio elevato | Senza ingiustificato ritardo (art. 34) |
| Rapporto finale e azioni correttive | 15 giorni |
4. Fasi operative
1. Rilevazione e registrazione dell'evento nel registro interno delle violazioni (obbligatorio anche per gli eventi non notificati).
2. Triage e classificazione: tipologia di violazione, categorie e numero approssimativo di interessati e di record, gravità del rischio.
3. Contenimento: revoca token e sessioni, blocco degli accessi compromessi, rotazione delle credenziali, ripristino da backup.
4. Valutazione del rischio per i diritti e le libertà degli interessati, considerando la presenza di dati sanitari (rischio generalmente elevato).
5. Notifica al titolare con: natura della violazione, categorie e numero di interessati e record, contatto di riferimento, conseguenze probabili, misure adottate e proposte.
6. Supporto al titolare nella notifica al Garante privacy e nell'eventuale comunicazione ai pazienti, con testi predisposti.
7. Analisi delle cause e attuazione delle misure correttive; aggiornamento delle misure di sicurezza e, se necessario, della DPIA.
5. Ruoli
- Bookimed (responsabile): rileva, contiene, notifica al titolare, documenta, assiste.
- Studio (titolare): valuta il rischio in concreto, notifica al Garante entro 72 ore, informa i pazienti quando il rischio è elevato, conserva il proprio registro delle violazioni.
6. Registro delle violazioni
Ogni evento è documentato con: identificativo, data di rilevazione, descrizione, dati e interessati coinvolti, valutazione del rischio, decisione di notifica con motivazione, misure adottate, esito. Il registro è conservato per almeno 5 anni ed è messo a disposizione dell'autorità di controllo su richiesta.
7. Contatti
- Segnalazioni di sicurezza: security@bookimed.it
- Questioni privacy: privacy@bookimed.it
Versione 1.0 — aggiornata al 18 agosto 2026. Per richieste scrivi a privacy@bookimed.it.