Azienda Ospedaliera S. Pio di Benevento
ordinanza ingiunzione con sanzione amministrativa pecuniaria
Sintesi del provvedimento
L'Azienda Ospedaliera ha violato le norme sulla protezione dei dati inviando via PEC una Consulenza tecnica di parte contenente dati personali e informazioni sulla salute di un dipendente a diversi uffici con accesso indiscriminato. Il Garante ha accertato l'illiceità del trattamento per assenza di base giuridica e ha comminato una sanzione di 6.000 euro, considerando fattori attenuanti quali la natura limitata della violazione, l'assenza di dolo e la cooperazione con l'Autorità.
Il trattamento di dati personali sensibili in assenza di base giuridica rimane illecito anche senza dimostrazione di visualizzazione effettiva da parte di dipendenti non interessati al procedimento.
Approfondimento
Soggetti coinvolti
1 (un solo lavoratore)
Riferimenti normativi
Lettura del caso
Temi affrontati — trattamento illecito di dati personali e dati sensibili in assenza di base giuridica
Conseguenze — L'Azienda Ospedaliera deve pagare entro 30 giorni euro 6.000 a titolo di sanzione amministrativa pecuniaria, ovvero entro 30 giorni dalla notificazione del presente provvedimento. Alternativamente, ha facoltà di definire la controversia mediante pagamento della metà della sanzione (euro 3.000) entro 30 giorni. L'ordinanza ingiunzione sarà pubblicata per intero sul sito web del Garante. Il provvedimento sarà annotato nel registro interno dell'Autorità.
- delicatezza delle informazioni trattate inclusi dati sulla salute (art. 83 par. 2 lett. g) GDPR)
- natura della violazione limitata a un solo lavoratore (art. 83 par. 2 lett. a) GDPR)
- violazione commessa per errore di valutazione senza intenzionalità (art. 83 par. 2 lett. b) GDPR)
- buona cooperazione con l'Autorità durante l'istruttoria (art. 83 par. 2 lett. f) GDPR)
- adozione di specifiche indicazioni ai dipendenti in materia di protezione dati (art. 83 par. 2 lett. c) GDPR)
- assenza di precedenti violazioni pertinenti (art. 83 par. 2 lett. e) GDPR). Elemento
Le caselle di posta condivisa tra più dipendenti di qualifiche eterogenee costituiscono un rischio di trattamento illecito se contengono dati sensibili: verificare sempre la necessità e la proporzionalità dell'accesso prima di trasmettere.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.