Città Metropolitana di Sassari
ordinanza ingiunzione
Sintesi del provvedimento
Il Garante sanziona la Città Metropolitana di Sassari per violazione dei principi di integrità, riservatezza e responsabilizzazione nella configurazione del protocollo informatico, che ha consentito l'accesso non autorizzato a dati personali delicati afferenti a segnalazioni disciplinari. La violazione ha riguardato tutti i dati transitati sul sistema e si è protratta fino alla riconfigurazione del sistema durante l'istruttoria.
La mancata implementazione della privacy by design nel configurare sistemi informatici della PA, anche per omissione di riservatezza su comunicazioni delicate, espone l'ente a sanzioni significative indipendentemente dall'intento.
Approfondimento
Soggetti coinvolti
Circa 30 utenti con privilegi informatici hanno potuto accedere ai dati; interessato principale (reclamante) è 1; tutti i dati transitati sul protocollo informatico sono stati potenzialmente esposti
Riferimenti normativi
Lettura del caso
Temi affrontati — Protezione dei dati nella pubblica amministrazione; data breach; mancata implementazione della privacy by design
Conseguenze — La Città Metropolitana è obbligata a pagare euro 12.000 entro 30 giorni dalla notificazione, con facoltà di definire la controversia mediante pagamento della metà della sanzione entro 30 giorni. In caso di mancato pagamento, sono adottati atti esecutivi. Il provvedimento sarà pubblicato sul sito del Garante. Le violazioni sono annotate nel registro interno del Garante ai sensi dell'art. 57 par. 1 lett. u) GDPR.
- precedenti indicazioni del Garante dal 2007 su corretta gestione dati nel lavoro pubblico (art. 83 par. 2 lett. a) GDPR)
- violazione sistematica di tutti i dati transitati sul protocollo informatico per difetto strutturale protratto nel tempo (art. 83 par. 2 lett. a) GDPR)
- natura delicata dei dati - segnalazioni disciplinari e dati particolari ex artt. 9 e 10 GDPR (art. 83 par. 2 lett. a) e g) GDPR)
- carattere colposo per errore di configurazione (art. 83 par. 2 lett. b) GDPR)
- buona cooperazione dell'Ente con l'Autorità nel corso dell'istruttoria (art. 83 par. 2 lett. f) GDPR)
- assenza di precedenti violazioni pertinenti (art. 83 par. 2 lett. e) GDPR)
- stato di migrazione informatica dalla Provincia alla Città Metropolitana al momento dei fatti (art. 83 par. 2 lett. k) GDPR)
- intervallo temporale limitato di visibilità della nota riservata tra 25 e 28 marzo 2025 (art. 83 par. 2 lett. g) GDPR). Gravità valutata come media secondo Linee guida 4/2022 del Comitato europeo protezione dati
Configurare i sistemi di protocollo con privilegi granulari per ruolo/ufficio e implementare protezione fin dalla progettazione, non come correzione successiva a violazioni riscontrate.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.