Comune di Reykjavík: uso di Google Workspace con trattamenti per fini propri del fornitore
- Paese
- Islanda
- Autorità
- autorità di protezione dei dati (Islanda)
- Soggetto
- the municipality of Reykjavík
- Settore
- Pubblica amministrazione
- Notizia dell'EDPB
- 26 aprile 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità islandese di protezione dei dati ha esaminato l'uso di Google Workspace for Education da parte del Comune di Reykjavík nelle scuole elementari, nell'ambito dell'azione coordinata EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il Comune dimostrasse la compatibilità con la finalità educativa iniziale. Sono stati riscontrati problemi relativi agli articoli 5, 6, 24, 25, 28, 35, 44 e 46 del GDPR, tra cui contratto di trattamento non conforme, minimizzazione insufficiente, valutazione d'impatto carente e trasferimenti verso gli Stati Uniti senza garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa.
Un DPO che lavora in Italia deve verificare che il contratto con il fornitore cloud vieti i trattamenti per finalità proprie e che la DPIA e le garanzie sui trasferimenti extra-UE siano documentate prima dell'adozione dei servizi.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 6 GDPR Liceità del trattamento
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 35 GDPR Valutazione d'impatto sulla protezione dei dati
- art. 44 GDPR ↗ Principio generale per il trasferimento
- art. 46 GDPR ↗ Trasferimento soggetto a garanzie adeguate
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- AmmonimentoComune di Chivasso
Entrambi riguardano la trasparenza nel trattamento di dati digitali di lavoro o di studio gestiti da enti pubblici, con carenze informative verso gli interessati.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Icelandic SA: the municipality of Reykjavík fined ISK 2,000,000 for the use of Google Workspace for Education”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.