GESTIONE DELLE VIOLAZIONI DEI DATI PERSONALI E PROCEDURA DI NOTIFICA

GESTIONE DELLE VIOLAZIONI DEI DATI PERSONALI E PROCEDURA DI NOTIFICA

lortrio adotta procedure organizzative e tecniche finalizzate all'individuazione, alla valutazione e alla gestione degli incidenti di sicurezza che possono coinvolgere dati personali trattati attraverso il sito e i servizi collegati.

La presente procedura descrive i criteri utilizzati per valutare un possibile incidente, limitarne gli effetti e, quando richiesto dalla normativa applicabile, effettuare le necessarie notifiche all'autorità di controllo e le comunicazioni agli interessati.

La gestione delle violazioni dei dati personali viene effettuata in conformità al Regolamento (UE) 2016/679 (“GDPR”), in particolare agli articoli 33 e 34, e alla normativa italiana applicabile.

DEFINIZIONE DI VIOLAZIONE DEI DATI PERSONALI

Non ogni anomalia tecnica costituisce automaticamente una violazione dei dati personali.

Ai fini della presente procedura, una violazione dei dati personali può verificarsi quando un incidente di sicurezza comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali trasmessi, conservati o comunque trattati.

Possono rientrare in questa categoria, a seconda delle circostanze, accessi abusivi agli account, divulgazione accidentale di dati, compromissione di credenziali, perdita di informazioni, attacchi informatici o invio di dati personali al destinatario errato.

ATTIVITÀ DI MONITORAGGIO

lortrio adotta, in misura proporzionata ai rischi connessi ai trattamenti effettuati, strumenti e procedure ragionevoli per individuare anomalie che potrebbero compromettere la riservatezza, l'integrità o la disponibilità dei dati personali.

Le attività possono comprendere controlli sugli accessi, gestione delle autorizzazioni, verifica di eventi anomali, protezione degli account, aggiornamento dei sistemi e collaborazione con i fornitori tecnologici incaricati della gestione dei servizi.

Le misure vengono valutate tenendo conto della natura dei dati, delle finalità del trattamento, delle tecnologie utilizzate e del livello di rischio ragionevolmente prevedibile.

RILEVAZIONE DI UN POSSIBILE INCIDENTE

Quando viene rilevato o segnalato un possibile incidente, lortrio procede, per quanto ragionevolmente possibile, alla raccolta delle informazioni necessarie per determinarne natura, origine, portata e possibili conseguenze.

La verifica può riguardare:

• la tipologia di dati personali coinvolti;
• il numero approssimativo di interessati coinvolti;
• la quantità e la tipologia dei record interessati;
• la possibilità che i dati siano stati consultati da soggetti non autorizzati;
• la durata dell'esposizione;
• la possibilità di identificare direttamente gli interessati;
• le misure di protezione eventualmente già applicate ai dati;
• le possibili conseguenze per le persone coinvolte.

CONTENIMENTO DELL'INCIDENTE

Quando tecnicamente possibile e appropriato, vengono adottate misure tempestive per contenere l'incidente e impedire un'ulteriore esposizione dei dati.

A seconda della situazione, tali misure possono comprendere la sospensione di credenziali compromesse, la modifica delle autorizzazioni di accesso, l'isolamento di un sistema interessato, il ripristino di informazioni, la correzione di configurazioni errate o il coinvolgimento del fornitore tecnologico pertinente.

VALUTAZIONE DEL RISCHIO

Dopo aver acquisito informazioni sufficienti, lortrio valuta il rischio che la violazione può comportare per i diritti e le libertà delle persone fisiche.

La valutazione considera, tra gli altri elementi, la sensibilità delle informazioni, il volume dei dati coinvolti, la facilità con cui una persona può essere identificata, la possibilità di utilizzo fraudolento dei dati e la gravità delle potenziali conseguenze.

Possono essere considerate conseguenze rilevanti, a seconda delle circostanze, frodi, furto d'identità, accesso non autorizzato agli account, perdita economica, danno reputazionale o altre conseguenze significative per l'interessato.

NOTIFICA ALL'AUTORITÀ DI CONTROLLO

Quando una violazione dei dati personali può presentare un rischio per i diritti e le libertà delle persone fisiche, lortrio procede, nei casi in cui agisce come titolare del trattamento, alla notifica all'autorità di controllo competente secondo l'articolo 33 del GDPR.

Quando competente, la notifica viene indirizzata al Garante per la protezione dei dati personali.

La notifica viene effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui lortrio è venuta a conoscenza della violazione.

Se la notifica viene effettuata oltre 72 ore, vengono documentati e, quando richiesto, comunicati i motivi del ritardo.

CONTENUTO DELLA NOTIFICA

Quando richiesto dalla normativa, la notifica all'autorità competente contiene le informazioni disponibili necessarie per descrivere la natura della violazione.

Possono essere indicati le categorie e il numero approssimativo degli interessati, le categorie e il numero approssimativo delle registrazioni coinvolte, le probabili conseguenze della violazione e le misure adottate o proposte per porvi rimedio e limitarne gli eventuali effetti negativi.

Qualora non sia possibile fornire tutte le informazioni contemporaneamente, esse possono essere fornite progressivamente nei limiti consentiti dal GDPR e senza ulteriore ingiustificato ritardo.

QUANDO VIENE INFORMATO DIRETTAMENTE IL CLIENTE

La scoperta di una violazione non comporta automaticamente l'invio di una comunicazione a tutti gli utenti del sito.

Ai sensi dell'articolo 34 del GDPR, quando una violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, lortrio comunica la violazione agli interessati coinvolti senza ingiustificato ritardo, salvo che trovi applicazione una delle eccezioni previste dalla normativa.

La decisione viene quindi adottata in funzione della natura dell'incidente e del livello di rischio effettivamente accertato, e non sulla sola circostanza che si sia verificata un'anomalia tecnica.

CONTENUTO DELLA COMUNICAZIONE ALL'INTERESSATO

Quando la comunicazione individuale è richiesta, essa viene formulata utilizzando un linguaggio chiaro e comprensibile.

La comunicazione descrive, nella misura richiesta dalla legge, la natura della violazione, le possibili conseguenze rilevanti, le misure adottate o previste per affrontare l'incidente e, quando opportuno, le azioni che l'interessato può adottare per ridurre il proprio rischio.

Possono essere fornite, ad esempio, indicazioni relative alla modifica di una password, alla verifica di attività sospette o ad altre precauzioni concretamente pertinenti alla violazione verificatasi.

CASI IN CUI LA COMUNICAZIONE INDIVIDUALE PUÒ NON ESSERE NECESSARIA

Nei casi previsti dall'articolo 34 del GDPR, la comunicazione individuale può non essere necessaria, ad esempio, quando sono state applicate misure tecniche e organizzative adeguate che rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi.

La comunicazione può inoltre non essere necessaria quando misure adottate successivamente garantiscono che il rischio elevato per gli interessati non sia più suscettibile di concretizzarsi.

Se la comunicazione individuale richiedesse sforzi sproporzionati, possono essere utilizzate, quando consentito dalla legge, una comunicazione pubblica o una misura equivalente che informi gli interessati con efficacia comparabile.

INCIDENTI CHE COINVOLGONO FORNITORI ESTERNI

Alcuni dati necessari al funzionamento del negozio possono essere trattati tramite fornitori tecnologici, piattaforme e-commerce, operatori logistici, fornitori di pagamento o altri soggetti coinvolti nell'esecuzione dei servizi.

Qualora un fornitore che opera come responsabile del trattamento rilevi una violazione relativa a dati trattati per conto di lortrio, la gestione dell'incidente avviene secondo gli obblighi previsti dall'articolo 33 del GDPR e dagli accordi applicabili.

La presenza di un fornitore esterno non elimina gli obblighi che spettano a lortrio quando quest'ultima opera come titolare del trattamento.

REGISTRAZIONE DEGLI INCIDENTI

lortrio documenta le violazioni dei dati personali nella misura richiesta dall'articolo 33 del GDPR.

La documentazione può comprendere le circostanze della violazione, le categorie di dati coinvolti, gli effetti accertati, la valutazione del rischio e le misure adottate per affrontare e contenere l'incidente.

La documentazione viene mantenuta in modo tale da consentire, quando necessario, la verifica del rispetto degli obblighi previsti dalla normativa.

MISURE SUCCESSIVE ALL'INCIDENTE

Dopo la gestione dell'emergenza, lortrio può riesaminare l'incidente per individuare eventuali misure correttive o preventive ragionevolmente necessarie.

Tali misure possono riguardare procedure interne, configurazioni tecniche, autorizzazioni di accesso, gestione delle credenziali, rapporti con i fornitori o altre misure di sicurezza pertinenti.

DIRITTI DEGLI INTERESSATI

La gestione di una violazione dei dati personali non limita i diritti riconosciuti agli interessati dal GDPR.

Nei casi previsti dalla normativa, l'interessato conserva il diritto di accesso, rettifica, cancellazione, limitazione, opposizione e gli altri diritti applicabili al trattamento dei propri dati personali.

RECLAMO ALL'AUTORITÀ DI CONTROLLO

L'interessato che ritenga che il trattamento dei propri dati personali non rispetti la normativa applicabile può presentare un reclamo al Garante per la protezione dei dati personali secondo le procedure messe a disposizione dall'autorità.

Tale possibilità non pregiudica gli altri rimedi amministrativi o giudiziari riconosciuti dalla normativa applicabile.

CONTATTI PER QUESTIONI RELATIVE AI DATI PERSONALI

Per segnalazioni relative alla sicurezza dei dati personali o per richieste riguardanti la presente procedura è possibile utilizzare i seguenti recapiti:

Marchio: lortrio
E-mail: mainshoppersupport@lortrio.com
Telefono: +1(217)183-6501
Indirizzo: 355 SWEET GUM ST, BOLINGBROOK, IL 60490
Servizio clienti: dal lunedì al venerdì, dalle 9:00 alle 18:00. I tempi di risposta potrebbero essere più lunghi durante i fine settimana e nei giorni festivi.