Società di ristorazione collettiva: chiavetta USB smarrita con dati non cifrati
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Ristorazione collettiva
- Notizia dell'EDPB
- 28 novembre 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
Un dipendente della società di catering Res-Gastro M. Gaweł Sp. k., con sede a Kolbuszowa, ha smarrito una chiavetta USB contenente file con dati personali di un altro dipendente, in parte non cifrati, tra cui nome, indirizzo, PESEL, dati del passaporto e informazioni sulle retribuzioni. L'autorità polacca ha rilevato che l'analisi del rischio era stata condotta in modo errato, senza prevedere la perdita del supporto, e che non erano state adottate soluzioni crittografiche strutturate, limitandosi a un video informativo per i dipendenti. La decisione contesta la violazione degli articoli 5, 24, 25 e 32 del GDPR e impone misure organizzative e tecniche per la sicurezza del trattamento.
Per un DPO italiano la lezione è che l'analisi del rischio deve considerare anche la semplice perdita di supporti esterni, e che la cifratura non può essere delegata a istruzioni generiche ai dipendenti, ma va implementata con soluzioni tecniche adeguate alla quantità e sensibilità dei dati.
Casi simili in Italia
- PrescrizioneSodexo Italia Spa
Anche in questo caso la violazione riguarda l'insufficienza delle misure di sicurezza organizzative, con un provvedimento di prescrizione che richiede interventi correttivi.
- SanzioneLepida S.c.p.A.
Il caso riguarda la sicurezza tecnica e organizzativa del trattamento di dati personali e una violazione dei dati (data breach), temi centrali anche nella decisione polacca.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of 54 600 € for failure to implement appropriate technical and organisational measures to ensure a level of security”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.