La sanzione comminata alla Regione Lazio dal Garante della privacy e’ importante per quattro motivi

Il primo motivo perche’  si ribadisce la necessita’ di contrattualizzare tutti i responsabili del trattamento dei dati personali esterni rispetto all’organizzazione ai sensi dell’art. 28 del Regolamento europeo GDPR n. 2016/679

Il secondo motivo e’ che implicitamente la sanzione del Garante dovrebbe porre fine a chi ancora parla di responsabili del trattamento come di soggetti interni all’organizzazione. 

Il terzo motivo e’ costituito dalla sanzione che punisce una nomina eseguita in ritardo, il 7 gennaio 2019 rispetto al 25 maggio 2018 data di operativita’ delle disposizioni del GDPR.

Il quarto motivo e’ costituito dall’importanza del registro delle attivita’ di trattamento tenuto dal  responsabile del trattamento, adempimento che ha permesso alla cooperativa che gestiva il servizio per la Regione Lazio di non essere assoggettata a sanzione dal Garante.

E passiamo al provvedimento sanzionatorio.

Il Garante per la protezione dei dati personali ha sanzionato la Regione Lazio per 75.000 euro per non aver nominato responsabile del trattamento dati la Società Cooperativa Capodarco, a cui l’Ente aveva affidato la gestione delle prenotazioni delle prestazioni sanitarie, attraverso il call center regionale (ReCUP).

La società ha dunque trattato i dati dei pazienti in modo illecito per un decennio, dal 1999 al 7 gennaio 2019, data in cui la Regione Lazio, in qualità di titolare, ha designato formalmente la Cooperativa responsabile del trattamento, ben oltre l’inizio di piena applicazione del Regolamento europeo in materia di protezione dei dati personali.

Con il provvedimento il Garante ha ribadito che le società che prestano servizi per conto del titolare e che di conseguenza trattano i dati personali degli utenti, devono essere designate responsabili del trattamento.

Il rapporto tra titolare e responsabile deve essere regolato da un contratto o da altro atto giuridico, stipulato per iscritto che, oltre a vincolare reciprocamente le due figure, prevede nel dettaglio le regole e i limiti con cui devono essere trattati i dati personali. Il responsabile è, pertanto, legittimato a trattare i dati degli interessati “soltanto su istruzione documentata del titolare”.

Inoltre, come recentemente evidenziato dall’Edpb, il Comitato che riunisce le Autorità di protezione dati dell’Ue, l’assenza di una chiara definizione del rapporto tra titolare e responsabile può sollevare il problema della mancanza di base giuridica su cui ogni trattamento deve fondarsi: ad esempio, per quanto riguarda la comunicazione dei dati tra titolare e responsabile.

Rilevato l’illecito, l’Autorità ha multato la Regione per 75.000 euro ed ha applicato la sanzione accessoria della pubblicazione del provvedimento sul sito dell’Autorità.

Il Garante ha ritenuto invece sufficiente ammonire il titolare della Cooperativa perché la Società Capodarco aveva più volte rappresentato alla Regione la necessità di essere nominata responsabile del trattamento e messo in atto misure conformi alla disciplina privacy, istituendo, ad esempio, il registro dei trattamenti.

Dott. Igino Addari
DPO

 

Fonte: Garante privacy

 

 

 

 

 

Actaprivacy software online per l’adempimento del GDPR

Per l’attuazione degli obblighi richiesti dal nuovo Regolamento UE Software web based ActaPrivacy per la gestione degli adempimenti previsti per la protezione dei dati personali dal GDPR 2016/679. 

 

   

ACTAINFO Servizi informativi e telematici

Fornitore abilitato al MEPA – Mercato Elettronico della Pubblica Amministrazione. 
Realizzazione, gestione, fornitura di: siti web, servizi privacy, firme digitali, marche temporali, PEC, conservazione digitale, archiviazione

    

 

Leggi anche

Tessera sanitaria senza microchip

Tessera sanitaria

In seguito alla crisi mondiale nell’approvvigionamento delle materie prime, che consentono la produzione di microchip, molte aziende stanno facendo i conti con questo problema. Il microchip consente alla tessera sanitaria di poter essere utilizzata per accedere ai servizi online. La mancanza del chip sulla tessera sanitaria comporta che questa non può essere utilizzata come Carta […]

Digitale: c’è molta strada da fare in Italia n. 27 al mondo

Italia al 27° posto nel digitale dopo Belgio e Polonia. E’ quanto emerge dalla classifica stilata da Surfshark, società specializzata in virtual private network – VPN. L’analisi è stata effettuata su 110 Paesi, rappresentativi del 90% della popolazione mondiale.

Siti e servizi comunali a misura di cittadino grazie al modello aggiornato di Designers Italia

PA26 Annuncia la prima versione delle risorse operative a norma del PNRR Come previsto dalla misura 1.4.1. del PNRR, il team di Designers Italia ha affrontato l’aggiornamento delle risorse operative messe a disposizione dei Comuni italiani per realizzare o aggiornare il proprio sito web e i servizi digitali. Con l’aggiornamento del modello disponibile sul sito di […]