Il Garante privacy, a seguito di una notifica di data breach e di un reclamo, ha sanzionato la Città Metropolitana di Sassari per aver configurato erroneamente il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli.

La Città Metropolitana ha agito così violando i principi di protezione dei dati sanciti dal GDPR, in particolare di integrità e riservatezza, responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Richiamando proprie precedenti decisioni, l’Autorità ha ribadito che anche nell’ambito dei trattamenti di dati personali effettuati mediante i sistemi di gestione documentale è necessario adottare misure tecniche e organizzative idonee ad assicurare l’accesso selettivo alla documentazione presente nel protocollo informatico, per evitare la consultabilità di documenti da parte di personale non autorizzato. In particolare, in merito alla protocollazione di documenti contenenti dati personali dei dipendenti e inerenti allo specifico rapporto di lavoro, è necessario ricorrere a procedure differenziate e riservate.

Rilevato l’illecito, il Garante ha quantificato la sanzione in 12mila euro, tenendo conto, tra l’altro, del fatto che l’Autorità, fin dal 2007, ha fornito ai datori di lavoro pubblici e privati indicazioni sul corretto trattamento dei dati nell’ambito della gestione del rapporto di lavoro, che la violazione ha riguardato tutti i dati personali transitati sul protocollo informatico e che il trattamento ha avuto ad oggetto anche dati delicati rilevanti ai fini disciplinari.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10266034