L’ultima ordinanza di ingiunzione comminata dal Garante, con particolare riferimento alla violazione dell’art. 35, riguarda l’Azienda ospedaliera di Perugia (provv. n. 134 del 7 aprile 2022). L’Azienda ospedaliera, mediante l’applicativo per il whistleblowing ha operato un trattamento in assenza di una preliminare valutazione d’impatto sulla protezione dei dati. L’Autorità ha specificato che “tenuto conto delle indicazioni fornite anche a livello europeo, il trattamento dei dati personali mediante i sistemi di acquisizione gestione delle segnalazioni presenta rischi specifici per i diritti e le libertà degli interessati, considerata anche la particolare delicatezza delle informazioni potenzialmente trattate, la “vulnerabilità” degli interessati nel contesto lavorativo, nonché lo specifico regime di riservatezza dell’identità del segnalante previsto dalla normativa di settore”. La carenza della valutazione d’impatto non ha consentito all’organizzazione di individuare misure specifiche per attenuare i rischi derivanti dal trattamento, pertanto il Garante ha comminato una sanzione di importo complessivo pari a 40.000 euro.
- In questo caso, è importante evidenziare il fatto che la non conformità si sia verificata a monte: il titolare del trattamento non ha saputo individuare l’esigenza stessa della DPIA. Una valutazione dei rischi, infatti, avrebbe consentito all’organizzazione di soppesare gli elevati rischi, in termini di possibili effetti ritorsivi e discriminatori, anche indiretti, per il segnalante (la cui identità è protetta da uno specifico regime di garanzia e riservatezza, previsto dalla normativa in materia di whistleblowing) e di determinare chiaramente l’esigenza della valutazione d’impatto.
Il 13 gennaio 2022 il Garante ha sanzionato l’Azienda sanitaria unica regionale Marche per un importo pari a complessivi 14.000 euro, per violazione dei principi di integrità e riservatezza, degli obblighi del titolare del trattamento in materia di sicurezza del trattamento e di valutazione d’impatto sulla protezione dei dati (provv. n. 9 del 13 gennaio 2022). L’istruttoria è partita da una notizia stampa che evidenziava una vulnerabilità nel sistema di acquisizione e gestione dei dati dello screening del Covid-19: a causa dell’errata configurazione dell’APP “Smart4You” chiunque poteva facilmente accedere al profilo sanitario di un’altra persona.
- In questo caso, il titolare, seppur consapevole degli obblighi previsti dal GDPR, ha considerato l’attività svolta come una semplice integrazione tra prenotazione e refertazione (servizi preesistenti). Se il titolare avesse riconosciuto il trattamento come distinto rispetto alle altre finalità perseguite, avrebbe potuto condurre una valutazione dei rischi sullo stesso, riconoscendo l’effettiva necessità di DPIA.
Un altro provvedimento interessante è sicuramente l’ordinanza di ingiunzione dei confronti dell’Università Commerciale “Luigi Bocconi” di Milano (n. 317 del 16 settembre 2021). Diverse violazioni sono state rilevate in relazione all’impiego di un sistema di supervisione (proctoring) nell’ambito dello svolgimento delle prove scritte d’esame degli studenti, al fine di identificare questi ultimi e/o di verificarne il corretto comportamento durante lo svolgimento della prova d’esame.
- In questo caso, il titolare ha condotto una DPIA sul sistema. Tuttavia il Garante, dall’esame della documentazione, ha rilevato che, la valutazione di impatto, “non è stata condotta in maniera del tutto adeguata, limitandosi a illustrare le caratteristiche del sistema di supervisione utilizzato, rappresentandolo come conforme al quadro normativo in materia di protezione dei dati, senza però una puntuale valutazione “della necessità e proporzionalità dei trattamenti in relazione alla finalità” e “dei rischi per i diritti e le libertà degli interessati” (art. 35, par. 7, lett. b) e c))”. In particolare, l’Autorità ha rilevato i seguenti aspetti come non conformi:
- I giudizi di adeguatezza estremamente sintetici, privi di idonea motivazione;
- La mancata individuazione, in relazione a taluni profili, di appropriate misure “per affrontare i rischi” e per attenuare gli stessi, oppure la presenza di misure “inconferenti per la mitigazione del rischio”;
- La mancata puntuale valutazione in merito all’adeguatezza, alla pertinenza e alla proporzionalità di ciascuna categoria di dati oggetto di trattamento;
- La mancata effettiva valutazione circa le possibili ripercussioni per gli interessati in caso di errori o falsi positivi/negativi generati dallo strumento di supervisione;
- In generale, la presenza nella DPIA di dichiarazioni superficiali (ad es. “non si potrebbe determinare discriminazione alcuna”) non sostenute da argomentazioni a sostegno (quale una previa valutazione sull’affidabilità degli algoritmi utilizzati dal sistema di supervisione).
