INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI ONLINE RIGUARDANTE IL SITO WEB WWW.DIRITTOINCORSIA.IT

ai sensi degli artt. 33 e 34 del Regolamento UE 2016/679 (GDPR)

REGISTRO GDPR: N. DIC.IT – 0.04 – 30.11.25
Versione n. 3 – in vigore dal 03.07.2026

La presente policy definisce le linee guida e le procedure per l’identificazione, la gestione, la segnalazione e la mitigazione delle violazioni di dati personali (data breach) che dovessero interessare i dati trattati tramite il sito www.dirittoincorsia.it (di seguito, «Sito»), in conformità agli artt. 33 e 34 del Regolamento UE 2016/679 (GDPR) e alla normativa italiana applicabile.

Essa si integra con l’Informativa Privacy Generale, con la Politica Editoriale e con i Termini e Condizioni del Sito, e vincola il Titolare e tutti i soggetti — collaboratori, fornitori e partner — che trattano dati personali per conto del Titolare.

Art. 1 – Titolare del Trattamento

Il Titolare del trattamento è:

Dott. Alessio Barpi 

Proprietario e responsabile dei portali:

DirittoinCorsia.it | StudioBarpi.it

Email: gdpr@dirittoincorsia.it Sito web: www.dirittoincorsia.it

Il Titolare assume direttamente le funzioni di coordinamento e gestione dei data breach, ivi incluse le valutazioni di impatto, le notifiche e le comunicazioni previste dagli artt. 33 e 34 GDPR.

Art. 2 – Obiettivo

La presente policy persegue i seguenti obiettivi:

1. definire procedure chiare per l’identificazione, la segnalazione e la gestione dei data breach;
2. garantire la conformità al GDPR (artt. 33 e 34) e alla normativa nazionale applicabile;
3. minimizzare i rischi e gli effetti pregiudizievoli per gli interessati in caso di violazione;
4. assicurare la tracciabilità e la documentazione di ogni incidente.

Art. 3 – Ambito di Applicazione

La presente policy si applica a tutte le persone fisiche e giuridiche che trattano dati personali per conto del Titolare, inclusi — a titolo esemplificativo e non esaustivo:

1. collaboratori esterni e professionisti incaricati;
2. fornitori di servizi tecnici e infrastrutturali (es. hosting, gestione mail server);
3. fornitori di servizi di newsletter, analisi statistica, pubblicità e affiliazione;
4. eventuali fornitori di servizi di intelligenza artificiale.

Tutti i soggetti di cui sopra sono tenuti a prendere visione della presente policy e a conformarvisi.

Art. 4 – Definizione di Data Breach

Ai sensi dell’art. 4, par. 12, GDPR, costituisce data breach (violazione dei dati personali) qualsiasi violazione della sicurezza che comporti — accidentalmente o in modo illecito — la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Sono ricompresi, a titolo esemplificativo:

1. accessi non autorizzati a database o archivi contenenti dati personali;
2. perdita o furto di dispositivi contenenti dati personali;
3. attacchi informatici (malware, ransomware, phishing) con esfiltrazione di dati;
4. invio accidentale di dati personali a destinatari errati;
5. alterazione o cancellazione accidentale di dati personali;
6. violazioni dei sistemi di terze parti (Responsabili del trattamento) che impattino dati del Titolare.

Art. 5 – Ruoli e Responsabilità

Titolare del Trattamento. In ragione della struttura del progetto — gestito da un soggetto individuale — il Titolare assume in prima persona le funzioni operative di:

1. implementazione e aggiornamento delle misure di sicurezza tecniche e organizzative;
2. ricezione e gestione delle segnalazioni di data breach;
3. valutazione del rischio e dell’impatto per gli interessati;
4. decisione in ordine alla notifica all’autorità di controllo e alla comunicazione agli interessati;
5. documentazione e tenuta del registro degli incidenti.

Responsabili del Trattamento. I fornitori di servizi che operano in qualità di Responsabili del Trattamento (es. Aruba S.p.A., MailChimp) sono contrattualmente obbligati, ai sensi dell’art. 28 GDPR, a notificare al Titolare qualsiasi data breach senza ingiustificato ritardo e a cooperare nella gestione dell’incidente.

Collaboratori e fornitori. Chiunque tratti dati personali per conto del Titolare è tenuto a segnalare immediatamente qualsiasi sospetto o confermato data breach al recapito dedicato.

Art. 6 – Procedure per la Gestione di un Data Breach

6.1. Identificazione e Segnalazione

Qualsiasi sospetto o confermato data breach deve essere segnalato immediatamente al Titolare all’indirizzo:

gdpr@dirittoincorsia.it

La segnalazione deve includere, ove possibile:

1. data e ora presunta dell’evento;
2. descrizione dell’incidente e delle circostanze in cui è stato rilevato;
3. tipologia e categoria dei dati personali coinvolti;
4. numero approssimativo degli interessati e dei dati coinvolti, se conosciuto;
5. sistemi, servizi o archivi interessati;
6. eventuali misure già adottate per il contenimento.

6.2. Valutazione dell’Impatto

Ricevuta la segnalazione, il Titolare procede senza indugio a valutare:

1. la natura, la gravità e l’entità della violazione;
2. la tipologia e la sensibilità dei dati coinvolti (con particolare attenzione a dati particolari ex art. 9 GDPR, dati giudiziari ex art. 10 GDPR, dati fiscali);
3. le conseguenze potenziali o effettive per i diritti e le libertà degli interessati (danni materiali o immateriali: perdita di controllo sui dati, furto d’identità, danno reputazionale, danno economico);
4. la probabilità che tali conseguenze si verifichino;
5. la necessità di notificare l’autorità di controllo e di comunicare la violazione agli interessati.

6.3. Notifica all’Autorità di Controllo

Qualora la violazione sia suscettibile di comportare un rischio per i diritti e le libertà delle persone fisiche, il Titolare provvede a notificare il data breach al Garante per la Protezione dei Dati Personali entro 72 ore dal momento in cui ne è venuto a conoscenza, ai sensi dell’art. 33 GDPR.

La notifica include:

1. descrizione della natura della violazione, con indicazione delle categorie e del numero approssimativo di interessati e dati coinvolti;
2. nome e recapiti del Titolare (ed eventuale DPO, se nominato);
3. descrizione delle probabili conseguenze della violazione;
4. descrizione delle misure adottate o proposte per porre rimedio e attenuare gli effetti.

Qualora la notifica non sia effettuata entro 72 ore, essa è accompagnata dai motivi del ritardo.

Se la violazione non è ritenuta suscettibile di comportare un rischio, il Titolare documenta comunque per iscritto la valutazione compiuta e le ragioni della mancata notifica, conservandola nel registro degli incidenti.

6.4. Comunicazione agli Interessati

Qualora la violazione sia suscettibile di comportare un rischio elevato per i diritti e le libertà degli interessati, il Titolare comunica il data breach agli interessati senza ingiustificato ritardo, ai sensi dell’art. 34 GDPR.

La comunicazione, redatta con linguaggio chiaro e semplice, include:

1. descrizione della natura della violazione;
2. indicazione del Titolare e recapiti di contatto;
3. descrizione delle probabili conseguenze;
4. misure adottate o proposte per porre rimedio e attenuare gli effetti;
5. raccomandazioni per gli interessati (es. modifica delle credenziali di accesso, monitoraggio di attività anomale).

La comunicazione non è obbligatoria se:

1. il Titolare aveva adottato misure tecniche e organizzative adeguate (es. cifratura) che rendono i dati incomprensibili a terzi;
2. il Titolare ha successivamente adottato misure che eliminano il rischio elevato;
3. la comunicazione richiederebbe uno sforzo sproporzionato: in tal caso si procede con comunicazione pubblica o misura analoga.

6.5. Contenimento e Mitigazione

Il Titolare adotta misure immediate per contenere la violazione e prevenire ulteriori danni, tra cui, a seconda della natura dell’incidente:

1. isolamento dei sistemi o account compromessi;
2. modifica forzata delle credenziali di accesso;
3. ripristino dei dati da backup sicuri e verificati;
4. revoca degli accessi non autorizzati e verifica dei log;
5. attivazione delle procedure di emergenza previste dai fornitori di servizi (es. disaster recovery di Aruba S.p.A.).

Successivamente, il Titolare implementa ulteriori controlli di sicurezza e aggiorna le misure tecniche e organizzative per prevenire incidenti analoghi.

6.6. Documentazione dell’Incidente

Ogni data breach, inclusi quelli non notificati all’autorità di controllo, è documentato in un registro interno dedicato, conservato dal Titolare. Il registro include:

1. data e ora in cui la violazione è stata rilevata;
2. data e ora presunta del verificarsi;
3. natura e descrizione dell’incidente;
4. categorie e numero approssimativo di dati e interessati coinvolti;
5. nominativo del segnalante e canale di segnalazione;
6. valutazione del rischio compiuta;
7. misure di contenimento e mitigazione adottate;
8. misure correttive successive;
9. eventuali notifiche e comunicazioni effettuate (con indicate date e destinatari);
10. esito delle indagini e azioni intraprese.

Il registro è conservato per un periodo non inferiore a 5 anni ed è messo a disposizione del Garante su richiesta.

Art. 7 – Formazione e Consapevolezza

Il Titolare si impegna a:

1. mantenere un livello adeguato di aggiornamento sulle best practice in materia di sicurezza dei dati e gestione dei data breach;
2. fornire istruzioni ai collaboratori e ai fornitori che trattano dati personali per conto del Titolare in merito alle procedure di segnalazione e gestione degli incidenti;
3. verificare periodicamente che i Responsabili del Trattamento dispongano di proprie policy di gestione data breach conformi al GDPR.

Art. 8 – Monitoraggio e Revisione

La presente policy è soggetta a revisione annuale ed è comunque riesaminata senza indugio a seguito di:

1. un data breach significativo che abbia comportato notifica al Garante o comunicazione agli interessati;
2. sopravvenienze normative o provvedimenti dell’autorità di controllo;
3. modifiche rilevanti nell’infrastruttura tecnica o nell’organizzazione del trattamento.

Ogni revisione è documentata con indicazione della data e delle modifiche apportate.

Art. 9 – Conseguenze della Non Conformità

La mancata osservanza della presente policy da parte di collaboratori o fornitori che trattano dati per conto del Titolare:

1. costituisce inadempimento contrattuale e può comportare la risoluzione del rapporto;
2. può esporre il soggetto inadempiente a responsabilità per i danni cagionati al Titolare e agli interessati, ivi incluse le sanzioni amministrative previste dal GDPR (artt. 83 e 84);
3. lascia impregiudicata ogni ulteriore azione del Titolare nelle sedi competenti.

Art. 10 – Integrazione con gli altri Documenti del Sito

La presente policy si integra con i seguenti documenti, pubblicati e accessibili dal footer di ciascuna pagina del Sito:

1. Informativa Privacy Generale, che descrive in modo completo tutti i trattamenti di dati personali effettuati tramite il Sito e i diritti degli interessati;
2. Politica Editoriale, che disciplina i principi, le fonti, il processo editoriale e l’uso di strumenti di intelligenza artificiale nella produzione dei contenuti;
3. Termini e Condizioni, che regolano l’accesso e l’utilizzo del Sito e dei suoi contenuti, inclusi i profili di responsabilità e proprietà intellettuale.

In caso di conflitto interpretativo, prevalgono i Termini e Condizioni per gli aspetti giuridici e la presente policy per gli aspetti relativi alla gestione dei data breach.

Art. 11 – Modifiche alla presente Policy

Il Titolare si riserva il diritto di modificare la presente policy in qualsiasi momento, per sopravvenute esigenze normative, tecniche o organizzative.

Gli aggiornamenti sono pubblicati sul Sito con indicazione della data di aggiornamento e del numero progressivo di versione e diventano efficaci al momento della pubblicazione.

---