ALLEGATO A
Form per raccolta informazioni

1. luogo e data dell’evento (anche approssimativi se non sono noti): 
[...]

2. breve descrizione dell’evento:
[...]

3. indicazione dei trattamenti di dati coinvolti (riportare elenco dei trattamenti)
[...]

4. banche dati o archivi anche cartacei che sono stati violati:
[...]

5. tipo di violazione
a) lettura (presumibilmente i dati non sono stati copiati) 
b) copia (i dati sono ancora presenti sul sistema del titolare) 
c) alterazione (i dati sono presenti sui sistemi ma sono stati alterati) 
d) cancellazione (i dati non sono più sui sistemi del titolare e non li ha neppure l’autore della violazione) 
e) furto (i dati non sono più sui sistemi del titolare e li ha l’autore della violazione) 
f) altro: [...]

6. Dispositivo oggetto della violazione 
a) Computer 
b) Rete 
c) Dispositivo mobile 
d) File o parte di un file 
e) Strumento di backup 
f) Documento cartaceo 
g) Altro: [...]

7. Sintetica descrizione dei sistemi di elaborazione o di memorizzazione dei dati coinvolti, con indicazione della loro ubicazione:
[...]

8. Quante persone sono state colpite dalla violazione dei dati personali trattati nell’ambito della banca dati?   
a) N. [...] persone 
b) Circa [...] persone 
c) Un numero (ancora) sconosciuto di persone 
9. Categorie di soggetti coinvolti?
a) Personale docente e ricercatore
b) Personale tecnico amministrativo
c) Studenti
d) Pazienti
e) Minori
f) Disabili
g) Utenti

10. Che tipo di dati sono oggetto di violazione? 
a) Dati anagrafici/codice fiscale 
b) Dati di accesso e di identificazione (user name,password, customer ID, altro) 
c) Dati relativi a minori 
d) Dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati 
e) Dati economico finanziari es: numero carta di credito, 
f) Dati genetici 
g) Dati relativo alla salute 
h) Dati giudiziari
i) Dati biometrici

Potenziali conseguenze della violazione:
[...]

Breve descrizione dell’impatto della violazione sui diritti degli interessati coinvolti:
[...]

Breve descrizione di quali azioni siano state eventualmente già intraprese per fronteggiare gli effetti della violazione sui diritti degli interessati coinvolti: (es: aggiornamento delle pw, azioni di formazione sulla sicurezza informatica)
[...]

Informazioni per la Compilazione
 
DEFINIZIONI  
<violazione di dati personali (data breach)> la violazione di sicurezza che comporta accidentalmente o in modo illecito: 
• la distruzione, 
• la perdita, 
• la modifica, 
• la divulgazione o l’accesso non autorizzati ai dati personali trasmessi, conservati o comunque trattati. 
 
<distruzione (destruction)> 
• Non esistono più i dati 
• Non esistono più in forma che possa essere utilizzata dal titolare 
 
<modifica (alteration, damage)> 
• Alterazione del dato 
• Corruzione del dato 
• Incompletezza del dato 
 
<Perdita (loss)> 
• Il titolare non ha più il controllo sui dati 
• Il titolare non ha più i dati 
 
<divulgazione (unauthorized or unlawful processing)> 
• Divulgazione di dati 
• Accesso ai dati da parte di destinatari non autorizzati 
• Trattamenti in violazione del GDPR 
 

Elenco principali trattamenti di dati personali svolti in Ateneo

Trattamenti inerenti gli studenti:  
• finalizzato all’orientamento 
• finalizzato all’erogazione dei test di ingresso o alla verifica dei requisiti di accesso 
• finalizzato per il percorso formativo e gestione della carriera 
• finalizzato all’attività di tirocinio 
• finalizzato all’attività di job placement 
• finalizzato all’attività di foundraising, di comunicazione e informazione istituzionale e sviluppo di comunity 
• finalizzato a rilevazioni statistiche e valutazione della didattica 
• finalizzato al caso di diffusione dell’elaborato finale o di elementi ad esso connessi 
• finalizzato a servizi di tutorato, assistenza, inclusione sociale 
• finalizzato all’erogazione di servizi e attività per il diritto allo studio 
• procedimenti di natura disciplinare a carico di studenti 
 
Trattamenti inerenti a dipendenti e/o collaboratori: 
• finalizzato allo svolgimento delle prove concorsuali 
• finalizzato alla gestione del rapporto di lavoro 
• finalizzato alla formazione e aggiornamento professionale 
• finalizzato alla gestione di progetti di ricerca 
• finalizzato al monitoraggio e alla valutazione della ricerca 
• trattamenti nell’ambito di attività di trasferimento tecnologico 
• trattamenti per politiche di welfare e per la fruizione di agevolazioni 
• finalizzato alla salute e sicurezza delle persone nei luoghi di lavoro o trattamenti dell’ufficio Prevenzione, Protezione e Sicurezza 
• finalizzato all’erogazione del servizio di telefonia fissa e mobile 
 
Trattamenti trasversali o connessi ad attività trasversali: 
• gestione degli spazi 
• gestione delle postazioni di lavoro 
• gestione degli organi e delle cariche istituzionali o finalizzato alla gestione degli elenchi per l’elettorato attivo e passivo o finalizzato alla nomina degli eletti e delle cariche accademiche o finalizzato alla pubblicizzazione di atti ai fini di trasparenza Trattamento per la gestione degli infortuni 

Trattamento in ambito bibliotecario 

Trattamenti nell’ambito dei servizi di protocollo e conservazione documentale: 
• finalizzato alla gestione del protocollo in entrata/uscita 
• finalizzato alla conservazione documentale 
 
Trattamenti per l’acquisto di beni e servizi, stipula di contratti, recupero crediti, gestione del contenzioso: 
• finalizzato all’acquisizione di beni e servizi 
• finalizzato alle verifiche sull’espletamento di lavori, in cantiere o presso installazioni in Ateneo 
• finalizzato alla gestione del contenzioso e del recupero crediti 
 
Trattamenti nell’ambito dei servizi di posta elettronica e strumenti di collaboration: 
• finalizzato all’accesso agli strumenti di collaboration 
• finalizzato all’erogazione di servizi di posta elettronica 
 
Trattamenti nell’ambito dell’erogazione federata di servizi: 
• finalizzato all’erogazione del servizio Eduroam 
• finalizzato all’accesso a servizi federati (es. IDEM) 
• finalizzato all’accesso ai servizi con autenticazione SPID 
 
Trattamenti relativi al tracciamento di informazioni non primarie: 
• tracciamento sistemistico e di rete 
• tracciamento applicativo 

FAQ

1. Ho perduto lo smartphone su cui erano memorizzati messaggi di posta elettronica della mia casella UNIURB, devo effettuare la segnalazione? 
2. La segnalazione è necessaria se esiste il dubbio che eventuali dati personali contenuti nei messaggi di posta possano essere acceduti da terzi o se sono andati perduti. Non è necessaria se esiste una copia dei dati e se siamo certi che lo smartphone non può essere utilizzato da altri. 
3. Il computer dell’ufficio è stato formattato in seguito ad un guasto. Devo fare la segnalazione? 
4. Se esiste un backup dei dati personali contenuti nel computer, non è necessaria la segnalazione.  
5. Ho trovato che è stata forzata la serratura di un armadio contente archivi cartacei relativi alle carriere del personale tecnico amministrativo, ma sembra che non manchi nulla. Devo fare la segnalazione? La segnalazione è necessaria. 
6. È stato rubato un notebook da un ufficio, nel quale erano contenuti dati personali. Devo fare la segnalazione? La segnalazione è necessaria. 
7. Per errore ho inviato un messaggio di posta elettronica contenete una lista di studenti iscritti ad un corso con indicazione di matricola ed indirizzo email a più destinatari sbagliati. Devo fare la segnalazione? La segnalazione è necessaria. 
8. Ho lasciato, per sbaglio, alcune domande per usufruire della 104 su un bancone dell’ufficio a cui accedono più persone anche esterne. Devo fare la segnalazione? 
9. Deve essere fatta la segnalazione. 
10. Non so chi devo informare di una violazione di dati personali che ho trovato su una pagina del sito web di Ateneo. 
11. La segnalazione deve essere effettuata al responsabile della propria struttura di afferenza, il quale avvierà la procedura per la comunicazione al Titolare a al RPD. Se il responsabile non fosse reperibile rivolgersi al sostituto o al referente privacy se è stato nominato. In mancanza anche di questi contattare direttamente il Responsabile della protezione dati di Ateneo o il suo ufficio. 
12. Mi sono accorto che un vecchio computer è stato hackerato. Apparentemente non sono stati rubati dati. Devo fare la segnalazione? 
13. È necessario effettuare la segnalazione.