Il Ministero dello Sviluppo Economico è stato sanzionato dal Garante per la Protezione dei Dati Personali per la ritardata nomina del DPO

Fonte: Garante Privacy

Il Garante per la Privacy ha ordinato al MISE il pagamento di una sanzione di 75.000 euro per non avere nominato il Responsabile per la Protezione dei Dati (DPO) entro il 28 maggio 2018, data di piena applicazione del GDPR, e avere diffuso sul sito web istituzionale informazioni personali di oltre 5.000 manager.

È la prima volta che l’Autorità ha sanzionato una PA per non avere designato il DPO entro il termine stabilito ed avere effettuato in ritardo la comunicazione dei dati di contatto al Garante.
Com'è noto, il Garante ha sempre sostenuto con forza che la nomina del RPD/DPO è tra le priorità da tenere in considerazione nel percorso di adeguamento al quadro giuridico del Regolamento.

La mancata nomina è emersa nel corso di una istruttoria, aperta dall’Ufficio anche a seguito di alcune segnalazioni, con la quale è stata accertata la presenza sul sito del Ministero di una pagina web con un elenco di manager nella quale erano visibili e liberamente scaricabili i dati personali di più di cinquemila professionisti, e nello specifico: il nominativo, il codice fiscale, la e-mail, il curriculum vitae integrale con telefono cellulare e, in alcuni casi, copia del documento di riconoscimento e della tessera sanitaria.

All’elenco avrebbero dovuto attingere le piccole e medie imprese, destinatarie dei voucher previsti dalla legge di bilancio 2019, per l’acquisto di consulenze volte a sostenere i processi di trasformazione tecnologica e digitale.

Dal sito era inoltre possibile scaricare anche il Decreto Direttoriale con il quale l’elenco era stato approvato, contenente dati e informazioni di tutti i manager. 
Nel rilevare l’illiceità del trattamento, il Garante ha ritenuto che il Decreto Direttoriale richiamato dal MISE, contrariamente a quanto da esso sostenuto, non costituisce una adeguata base normativa per la diffusione dei dati online.

L’Autorità ha ritenuto, inoltre, che la pubblicazione integrale dei curricula, senza alcun filtro, rappresenta un trattamento di dati sproporzionato, non in linea con i principi del GDPR.

Per consentire l’incontro tra la domanda delle società e l’offerta di consulenza da parte dei manager sarebbe stato sufficiente utilizzare strumenti meno invasivi rispetto alla pubblicazione sul web dei dati e delle informazioni di tutti i manager, evitando così il rischio di esporli ad utilizzi non legittimi da parte di terzi (es.: furti d’identità, profilazione illecita, phishing, ecc.).

Si sarebbero potute prevedere, ad esempio, forme di accesso selettivo ad aree riservate del sito istituzionale mediante l’attribuzione di credenziali di autenticazione (es. username o password), oppure ancora tramite gli strumenti previsti dal CAD, che permettessero la consultazione solo alle Pmi interessate.

Si sottolinea quindi l'importanza, anche per i comuni, di nominare prontamente i Responsabili per la Protezione dei Dati, e di assicurarsi che non vi siano "buchi" tra una nomina e l’altra.

La Regione Lazio è stata Sanzionata dal Garante privacy per non aver designato un Responsabile del Trattamento


Fonte: Garante Privacy

Il Garante per la Protezione dei Dati Personali ha comminato una sanzione di 75.000 euro alla Regione Lazio per non aver nominato come Responsabile del Trattamento Dati la Società Cooperativa Capodarco, a cui l’Ente aveva affidato la gestione delle prenotazioni delle prestazioni sanitarie, attraverso il call center regionale (ReCUP).

La società ha dunque trattato i dati dei pazienti in modo illecito per un decennio, dal 1999 al 7 gennaio 2019, data in cui la Regione Lazio, in qualità di Titolare, ha designato formalmente la Cooperativa come Responsabile del Trattamento, ben oltre l’inizio di piena applicazione del Regolamento europeo in materia di Protezione dei Dati Personali.

Con il provvedimento, il Garante ha ribadito che le società che prestano servizi per conto del Titolare e che di conseguenza trattano i dati personali degli utenti, devono essere designate come "Responsabili del Trattamento".

Il rapporto tra Titolare e Responsabile deve essere regolato da un contratto o da altro atto giuridico, stipulato per iscritto che, oltre a vincolare reciprocamente le due figure, prevede nel dettaglio le regole e i limiti con cui devono essere trattati i dati personali.

Il Responsabile è, pertanto, legittimato a trattare i dati degli interessati “soltanto su istruzione documentata del Titolare”.

Inoltre, come recentemente evidenziato dall’EDPB, il Comitato che riunisce le Autorità di protezione dati dell’UE, l’assenza di una chiara definizione del rapporto tra Titolare e Responsabile può sollevare il problema della mancanza di base giuridica su cui ogni trattamento deve fondarsi: ad esempio, per quanto riguarda la comunicazione dei dati tra Titolare e Responsabile.

Rilevato l’illecito, l’Autorità ha multato la Regione per 75.000 euro ed ha applicato la sanzione accessoria della pubblicazione del provvedimento sul sito dell’Autorità.

Il Garante ha ritenuto invece sufficiente ammonire il titolare della Cooperativa perché la Società Capodarco aveva più volte rappresentato alla Regione la necessità di essere nominata Responsabile del Trattamento e messo in atto misure conformi alla disciplina privacy, istituendo, ad esempio, il Registro dei trattamenti.

Si ribadisce quindi l’importanza di effettuare la nomina a Responsabile del Trattamento per tutti i soggetti che trattano i dati per conto del Titolare.