Comune di Hafnarfjörður: uso di Google Workspace senza garanzie per gli studenti
- Paese
- Islanda
- Autorità
- autorità di protezione dei dati (Islanda)
- Soggetto
- the municipality of Hafnarfjörður
- Settore
- Pubblica amministrazione, istruzione
- Data della decisione
- 28 novembre 2023
- Notizia dell'EDPB
- 26 aprile 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Hafnarfjörður, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il Comune dimostrasse la compatibilità di tale ulteriore trattamento con la finalità educativa originaria. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di finalità, minimizzazione e limitazione della conservazione, contenuto minimo del contratto con il responsabile del trattamento, valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie appropriate. L'autorità ha ordinato di rendere conformi i trattamenti e ha inflitto una sanzione amministrativa.
Un DPO che opera in Italia dovrebbe verificare che i servizi cloud usati in ambito scolastico o comunale abbiano contratti con contenuto conforme all'art. 28 GDPR, finalità del trattamento chiaramente definite e una DPIA aggiornata, con attenzione ai trasferimenti extra-UE.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 6 GDPR Liceità del trattamento
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 35 GDPR Valutazione d'impatto sulla protezione dei dati
- art. 44 GDPR ↗ Principio generale per il trasferimento
- art. 46 GDPR ↗ Trasferimento soggetto a garanzie adeguate
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneUniversità Telematica e-Campus
Entrambi riguardano un trattamento in ambito formativo o scolastico che è stato ritenuto privo di una base giuridica adeguata e di una valutazione d'impatto.
- PrescrizioneSodexo Italia Spa
Entrambi riguardano il trattamento di dati di studenti in ambito scolastico con misure di sicurezza e liceità del trattamento ritenute insufficienti.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Icelandic SA: the municipality of Hafnarfjörður fined EUR 18.580 for the use of Google Workspace for Education”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.