Università di Agder: dati accessibili a personale non autorizzato su Teams
- Paese
- Norvegia
- Autorità
- Datatilsynet
- Settore
- Istruzione universitaria
- Notizia dell'EDPB
- 5 novembre 2024
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
L'Autorità di controllo norvegese ha irrogato una sanzione amministrativa all'Università di Agder per violazione del GDPR. Dal 2018, con l'adozione di Microsoft Teams, documenti contenenti dati personali erano conservati in cartelle aperte accessibili a dipendenti privi di necessità di conoscerli, scoperti nel febbraio 2024. Sono coinvolti circa 16.000 interessati tra dipendenti, studenti e soggetti esterni, con dati come nomi, numeri di identità nazionale, informazioni su esami adattati e sistemazioni speciali, oltre a un elenco di rifugiati ucraini con recapiti, istruzione e stato di sistemazione. L'Università non ha adottato misure adeguate a garantire la sicurezza dei dati personali nell'uso di Microsoft Teams.
Anche in strumenti di collaborazione diffusi come Teams, la configurazione predefinita degli accessi va verificata e limitata secondo il principio del need to know, con controlli periodici sulle cartelle condivise.
Casi simili in Italia
- SanzioneUniversità di Pisa
Anche in questo caso un'università è stata sanzionata per misure di sicurezza inadeguate che hanno esposto dati personali di studenti.
- SospesoIntesa Sanpaolo S.p.A.
Entrambi i casi riguardano un accesso non autorizzato a dati personali con omessa adozione di misure di sicurezza adeguate.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Norwegian SA issues administrative fine to the University of Agder”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.