Comune di Vasto
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante sanziona il Comune di Vasto per violazioni del GDPR relative a un sistema di videosorveglianza per il rilevamento delle infrazioni stradali. Le violazioni riguardano la mancanza di informative adeguate agli interessati, la mancata esecuzione tempestiva della valutazione d'impatto e l'insufficiente minimizzazione dei dati raccolti. Il Comune è condannato al pagamento di 5.000 euro e all'adozione di misure correttive entro 30 giorni.
Approfondimento
Soggetti coinvolti
Una reclamante identificata (signora XX); numero potenzialmente elevato di soggetti coinvolti nell'attacco informatico all'account e-mail redazionale (non quantificato precisamente, includendo il Direttore, collaboratori e altri soggetti i cui dati personali erano presenti nell'account, compresi dati finanziari).
Riferimenti normativi
Lettura del caso
Temi affrontati — Data breach e obblighi di notifica (artt. 33-34 GDPR); sicurezza del trattamento e misure tecniche e organizzative (artt. 5 par. 1 lett. f e 32 GDPR); trasparenza e diritti degli interessati in ambito giornalistico (artt. 12-13 GDPR); accountability, privacy by design e by default (artt. 5 par. 2, 24-25 GDPR); bilanciamento tra protezione dati e libertà di informazione (art. 85 GDPR, artt. 136 ss. Codice).
Conseguenze — Il Garante dichiara illecito il trattamento di dati personali effettuato da Edizioni Grandangolo di Giuseppe Castaldo per violazione degli artt. 5 parr. 1 lett. f) e 2, 12 parr. 1 e 2, 13, 24, 25, 32 e 33 del Regolamento. Ordina al titolare il pagamento di una sanzione amministrativa pecuniaria di euro 2.075,00. Ingiunge il pagamento della stessa somma entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà dell'importo. Dispone la pubblicazione del provvedimento e dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità.
- natura e gravità della violazione con riferimento alla compromissione della possibilità di esercitare i diritti (art. 83 par. 2 lett. a)
- numero potenzialmente elevato di soggetti coinvolti nell'attacco informatico non notificato (art. 83 par. 2 lett. a)
- carattere gravemente colposo della violazione per inadeguata considerazione dei rischi e negligenza rispetto agli obblighi di trasparenza (art. 83 par. 2 lett. b)
- grado di responsabilità per carenza nel controllo della sicurezza (art. 83 par. 2 lett. d)
- natura isolata della condotta (un solo reclamo) (art. 83 par. 2 lett. a)
- finalità riconducibili all'esercizio del diritto di cronaca e libertà di informazione (art. 83 par. 2 lett. a)
- adozione di misure correttive dopo contestazione dell'Autorità (art. 83 par. 2 lett. c)
- assenza di precedenti violazioni (art. 83 par. 2 lett. e)
- grado di cooperazione non adeguato con risposte laconiche e non coerenti (art. 83 par. 2 lett. f)
- conoscenza della violazione da parte dell'Autorità solo tramite reclamo (art. 83 par. 2 lett. h)
- condizioni economiche del titolare con ricavi contenuti (art. 83 par. 2 lett. k)
Il caso evidenzia l'obbligo per le testate giornalistiche online di notificare le violazioni di dati personali anche quando l'attacco informatico riguarda account e-mail redazionali contenenti dati sensibili (finanziari, personali), indipendentemente dalla mancata evidenza di esfiltrazione effettiva dei dati.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.