Comune di Reykjanesbær: uso di Google Workspace senza garanzie adeguate
- Paese
- Islanda
- Autorità
- autorità di protezione dei dati (Islanda)
- Soggetto
- the municipality of Reykjanesbær
- Settore
- Pubblica amministrazione
- Data della decisione
- 28 novembre 2023
- Notizia dell'EDPB
- 26 aprile 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità islandese per la protezione dei dati ha esaminato l'utilizzo di Google Workspace for Education nelle scuole elementari del comune di Reykjanesbær, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il comune dimostrasse la compatibilità con lo scopo educativo originario. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di limitazione della finalità, minimizzazione e conservazione, obblighi relativi al contratto con il responsabile del trattamento, valutazione d'impatto sulla protezione dei dati e trasferimenti verso gli Stati Uniti privi di garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa.
Chi gestisce servizi cloud per le scuole deve verificare che il fornitore non utilizzi i dati degli studenti per finalità proprie, formalizzare un accordo di trattamento completo e svolgere per tempo una valutazione d'impatto con garanzie per i trasferimenti extra-UE.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 6 GDPR Liceità del trattamento
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 35 GDPR Valutazione d'impatto sulla protezione dei dati
- art. 44 GDPR ↗ Principio generale per il trasferimento
- art. 46 GDPR ↗ Trasferimento soggetto a garanzie adeguate
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneINPS - Istituto nazionale previdenza sociale
Caso di una pubblica amministrazione sanzionata per trattamento di dati di minori e altre categorie particolari privo di base giuridica adeguata e per carenze di minimizzazione e accountability.
- SanzioneUniversità Telematica e-Campus
Caso di un istituto di istruzione sanzionato per trattamento di dati biometrici e per la mancata valutazione d'impatto, con analogia sul tema della liceità del trattamento in ambito educativo.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Icelandic SA: the municipality of Reykjanesbær fined EUR 16.590 for the use of Google Workspace for Education”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.