Gestione Data Breach (72h)

1. Quando si attiva il processo

Il processo si attiva in presenza di una violazione di dati personali (accesso non autorizzato, divulgazione, perdita, alterazione o indisponibilita) che coinvolga dati trattati da Justbit.

2. Regola temporale

Dal momento in cui il Titolare viene a conoscenza della violazione decorre la finestra di 72 ore per valutare e, se dovuto, notificare l'evento al Garante (art. 33 GDPR).

3. Tracciamento nel registro incidenti

Ogni incidente viene registrato nel registro compliance Data Breach con almeno:

• ID incidente, data rilevazione, data conoscenza e scadenza notifica.
• Tipologia dati/sistemi coinvolti e stima interessati impattati.
• Valutazione rischio e decisione notifica.
• Azioni di contenimento, root cause, data chiusura e review post-incidente.

4. Flusso sintetico

1. Rilevazione e apertura ticket incidente.
2. Containment tecnico e raccolta evidenze.
3. Valutazione rischio privacy/legal.
4. Decisione notifica Autorita/interessati.
5. Comunicazione, remediation e chiusura con lessons learned.

5. Ruoli minimi

• Incident Manager (coordinamento tecnico).
• Privacy/Legal owner (valutazione obblighi normativi).
• Process owner (contesto business e remediation).
• Management/Comunicazione (approvazione comunicazioni esterne).

6. Documentazione di supporto

Runbook completo interno: docs/privacy/DATA_BREACH_RUNBOOK.md.