Dedalus Italia S.p.A.
ordinanza ingiunzione
Sintesi del provvedimento
Il Garante sanziona Dedalus Italia S.p.A. con 32.000 euro per violazione dell'art. 32 GDPR derivante da un'anomalia software nel sistema WHR-Time che ha esposto dati personali (richieste di assenza e permessi) del personale sanitario della Regione Emilia Romagna ai colleghi. L'anomalia, causata da un errore umano durante un aggiornamento, è stata risolta in circa 5 ore dalla segnalazione. La violazione ha riguardato anche categorie particolari di dati relativi a permessi ex legge 104/1992.
Errori umani in aggiornamenti software che espongono dati sensibili di lavoratori, incluse categorie particolari, integrano violazione dell'art. 32 GDPR sebbene mitigati da risoluzione rapida.
Approfondimento
Soggetti coinvolti
personale in servizio presso 11 aziende sanitarie e ospedaliere della Regione Emilia Romagna, compresi loro familiari e minori
Riferimenti normativi
Lettura del caso
Temi affrontati — violazione misure di sicurezza data breach lavoro sanitario
Conseguenze — Dedalus Italia S.p.A. è ordinata di pagare euro 32.000 a titolo di sanzione amministrativa pecuniaria entro 30 giorni dalla notificazione del presente provvedimento, pena l'adozione di atti esecutivi. È concessa facoltà di definire la controversia mediante pagamento di euro 16.000 (metà della sanzione) entro 30 giorni. Il provvedimento sarà pubblicato sul sito web del Garante. Le violazioni e le misure adottate saranno annotate nel registro interno dell'Autorità.
- violazione ha riguardato dati personali di interessati vulnerabili nel contesto lavorativo
- violazione ha coinvolto categorie particolari di dati ex art. 9 GDPR (permessi legge 104/1992)
- elevato numero di interessati e titolari coinvolti
- violazione di natura colposa, dovuta a evento imprevisto riconducibile a mero errore umano, caso isolato
- violazione circoscritta nel tempo (prime ore di mattina di giorno prefestivo pre-natalizio, periodo di consulenza limitata)
- adozione di misure per attenuare gli effetti della violazione (fix installato alle 9:33, risoluzione definitiva alle 9:54)
- cooperazione ordinaria della Società nell'istruttoria
- livello di gravità della violazione non alto secondo Linee guida 4/2022 Comitato europeo protezione dati
- precedenti violazioni pertinenti commesse dalla Società come elemento sfavorevole
La manutenzione del software richiede test adeguati su dati reali per evitare errori nei filtri di autorizzazione che espongono dati sensibili a utenti non autorizzati.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.