Comune di Kópavogur: uso di Google Workspace senza adeguate garanzie
- Paese
- Islanda
- Autorità
- autorità di protezione dei dati (Islanda)
- Soggetto
- the municipality of Kópavogur
- Settore
- Pubblica amministrazione, istruzione
- Data della decisione
- 28 novembre 2023
- Notizia dell'EDPB
- 26 aprile 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Kópavogur, nell'ambito dell'azione coordinata EDPB 2022 sul cloud nel settore pubblico. È emerso che i dati degli studenti erano trattati anche per finalità proprie di Google, non solo su istruzione del Comune, e che il Comune non aveva dimostrato la compatibilità di tali trattamenti con la finalità originaria. Sono state contestate violazioni di vari articoli del GDPR, tra cui principi di finalità, minimizzazione e conservazione, contratto di trattamento incompleto, mancata valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa pecuniaria.
Chi gestisce servizi cloud per le scuole deve verificare che il fornitore non usi i dati degli studenti per finalità proprie e che il contratto di trattamento e la valutazione d'impatto siano completi e documentati.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 6 GDPR Liceità del trattamento
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 35 GDPR Valutazione d'impatto sulla protezione dei dati
- art. 44 GDPR ↗ Principio generale per il trasferimento
- art. 46 GDPR ↗ Trasferimento soggetto a garanzie adeguate
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- PrescrizioneSodexo Italia Spa
Caso italiano relativo a una scuola e a studenti, con contestazione di violazione della liceità del trattamento e di insufficienza delle misure di sicurezza organizzative.
- SanzioneUniversità Telematica e-Campus
Caso italiano in ambito formativo universitario con violazione dei principi di liceità e necessità di valutazione d'impatto per un trattamento tecnologico rilevante.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Icelandic SA: the municipality of Kópavogur fined EUR 19.907 for the use of Google Workspace for Education”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.