Whistleblowing non sicuro e GDPR: sanzione di 30.000 € a Università
Il datore di lavoro, nonchè titolare del trattamento dei dati personali, deve verificare che le misure tecnico-organizzative e i software utilizzati siano adeguati a tutelare la riservatezza di chi invia le denunce di possibili comportamenti illeciti (whistleblowing).
Il Garante per la protezione dei dati personali ha, conseguentemente, sanzionato un’università per aver reso accessibili on line i dati identificativi di due persone che avevano segnalato all’ateneo possibili illeciti.
A sua difesa l’università aveva dichiarato che, a causa di un aggiornamento della piattaforma software utilizzata, si era verificata la sovrascrittura accidentale dei permessi di accesso ad alcune pagine web interne dell’applicativo usato per il whistleblowing.
Ciò aveva reso possibile a chiunque consultare i nomi e altri dati di coloro che avevano inviato segnalazioni riservate. Tali informazioni erano di conseguenza state indicizzate da alcuni motori di ricerca fino a che l’università, dopo essere venuta a conoscenza del problema, era intervenuta per farli deindicizzare e cancellare le relative copie cache.
Durante l’istruttoria è emerso che la violazione dei dati personali (data breach) era riconducibile all’assenza di adeguate misure tecniche per il controllo degli accessi, che avrebbero consentito di limitare la consultazione al solo personale autorizzato.
In base al Regolamento europeo GDPR n. 2016/679, spetta al titolare del trattamento (in questo caso l’ateneo) mettere in atto misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio.
Tra queste misure rientra anche una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure di protezione adottate.
L’università si era, invece, limitata a recepire le scelte progettuali del fornitore dell’applicativo che non prevedeva la cifratura dei dati personali (identità del segnalante, informazioni relative alla segnalazione, eventuale documentazione allegata), né l’adozione di un protocollo di trasmissione che garantisse una comunicazione sicura, sia in termini di riservatezza e integrità dei dati scambiati, sia di autenticità del sito web visualizzato da chi invia le segnalazioni.
La gravità della violazione risulta acuita dal particolare regime di riservatezza stabilito dalla legge n. 179 del 30 novembre 2017 e dalle norme in materia di whistleblowing, a tutela degli interessati.
Il Garante, quindi, dopo aver accertato l’illecito trattamento dei dati e l’omesso adempimento degli obblighi di sicurezza imposti dal GDPR – tenendo comunque conto che la violazione ha riguardato solo due persone e che l’Ente ha attivamente cooperato nel corso dell’istruttoria – ha inflitto all’ateneo una sanzione amministrativa di 30.000 euro.
Fonte Garante Privacy
