Scuola superiore: accesso eccessivo al database studenti da parte di un fornitore
- Paese
- Slovenia
- Autorità
- autorità di protezione dei dati (Slovenia)
- Soggetto
- High school
- Settore
- Istruzione
- Notizia dell'EDPB
- 20 maggio 2025
- Misure decise
-
- Ammonimento
Sintesi della decisione
L'autorità slovena di protezione dei dati ha avviato un'ispezione d'ufficio dopo la notifica di una violazione: un fornitore esterno del servizio mensa aveva accesso all'intero database degli studenti, inclusi dati su sussidi e saldi, pur avendo bisogno solo di nome e cognome. Secondo l'autorità, la scuola non ha adottato misure adeguate di protezione dei dati fin dalla progettazione e per impostazione predefinita, come richiesto dall'articolo 25 del GDPR, né una valutazione del rischio adeguata. Il provvedimento adottato è un richiamo nei confronti della scuola e del dirigente scolastico in qualità di responsabile; il tribunale locale ha respinto il ricorso dell'istituto.
Per un DPO in Italia è un promemoria pratico: l'accesso dei fornitori esterni va limitato ai soli dati strettamente necessari alla finalità, e la valutazione del rischio va fatta prima di concedere l'accesso, non dopo una violazione.
Articoli del GDPR violati
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Slovenian SA: schools must adhere to the principle of data protection by design and by default”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.