Comuni e azienda di servizi: chiavetta USB non cifrata smarrita
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Pubblica amministrazione
- Notizia dell'EDPB
- 6 febbraio 2025
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
Durante il passaggio a un nuovo sistema di gestione del personale e delle paghe, dati di dipendenti, ex dipendenti, collaboratori e partecipanti sono stati copiati su una chiavetta USB non cifrata, poi smarrita da un dipendente della società incaricata. L'autorità polacca ha rilevato la mancata analisi del rischio e l'assenza di controlli sulla procedura, contestando la violazione degli artt. 5, 24, 25, 28 e 32 del GDPR. Sono state irrogate sanzioni amministrative ai due enti comunali e alla società fornitrice, con un ordine di conformità.
Il trasferimento di dati del personale richiede un'analisi del rischio preventiva e la cifratura dei supporti, e il titolare deve verificare anche le procedure del fornitore incaricato.
Articoli del GDPR violati
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 32 GDPR Sicurezza del trattamento
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 28 GDPR Responsabile del trattamento
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneUniversità di Pisa
Anche in questo caso le misure di sicurezza inadeguate hanno portato a una violazione con esposizione di dati personali da parte di un'istituzione pubblica.
- AmmonimentoIstituto Comprensivo Sassuolo 1 Centro Est
Riguarda la comunicazione non autorizzata di dati di lavoratori pubblici, con un profilo di pubblica amministrazione e lavoro simile.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of 5 700 € for failure to implement appropriate technical and organisational measures to ensure security”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.