Edizioni Grandangolo di Giuseppe Castaldo
Ordinanza ingiunzione - Sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante ha irrogato una sanzione di 2.075 euro a una testata giornalistica online per violazioni del GDPR riguardanti: omessa notifica di una violazione di dati personali derivante da attacchi informatici, mancata adozione di misure di sicurezza adeguate, assenza di informativa privacy sul sito e mancata trasparenza negli obblighi di protezione dati. La sanzione tiene conto di fattori attenuanti quali l'esercizio del diritto di cronaca, l'adozione di misure correttive successive alla contestazione e le limitate condizioni economiche del titolare.
Approfondimento
Soggetti coinvolti
La reclamante signora XX è l'interessata identificata nel reclamo. Il provvedimento riferisce inoltre di un numero potenzialmente elevato di soggetti coinvolti nell'attacco informatico che ha interessato l'account email redazionale contenente dati personali del Direttore, dei collaboratori della redazione e informazioni di natura finanziaria, senza specificare un numero preciso.
Riferimenti normativi
Lettura del caso
Temi affrontati — Obblighi di sicurezza e notifica di data breach nel trattamento dei dati personali da parte di soggetti che esercitano attività giornalistica; bilanciamento tra diritto alla protezione dei dati personali e libertà di cronaca e informazione; obblighi di trasparenza e accountability del titolare; principi di privacy by design; diritto alla deindicizzazione e rimozione di contenuti editoriali online relativi a vicende personali datate
Conseguenze — Il Garante dichiara l'illiceità del trattamento di dati personali effettuato da Edizioni Grandangolo di Giuseppe Castaldo per violazione degli artt. 5 parr. 1 lett. f) e 2, 12 parr. 1 e 2, 13, 24, 25, 32 e 33 del Regolamento e ordina il pagamento di una sanzione amministrativa pecuniaria di euro 2.075,00. Dispone la pubblicazione del provvedimento e dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità previsto dall'art. 57 par. 1 lett. u) del Regolamento.
- natura e gravità della violazione con potenziale preclusione dell'esercizio dei diritti
- numero potenzialmente elevato di soggetti coinvolti nell'attacco informatico non notificato
- carattere gravemente colposo della violazione con minimizzazione dell'impatto dell'evento che ha interessato perimetro ampio di dati comprensivo di informazioni finanziarie
- condotta negligente e noncurante degli obblighi di trasparenza
- importante carenza nel controllo della sicurezza del trattamento
- natura isolata della condotta con un solo reclamo
- finalità riconducibili all'esercizio del diritto di cronaca e libertà di informazione
- adozione di misure correttive dopo contestazione
- assenza di precedenti violazioni
- cooperazione non adeguata con l'Autorità con risposte laconiche e non coerenti
- conoscenza della violazione da parte dell'Autorità esclusivamente a seguito di reclamo
- condizioni economiche del titolare con ricavi complessivi di entità contenuta
Il provvedimento evidenzia la particolare gravità della mancata notifica di data breach da parte di un titolare operante in ambito giornalistico, nonostante l'attacco informatico abbia interessato un perimetro ampio di dati comprensivo di informazioni finanziarie. Il Garante sottolinea che la minimizzazione dell'impatto dell'evento e la mancanza di trasparenza costituiscono violazioni gravi, anche in considerazione del bilanciamento necessario tra diritti degli interessati e libertà di informazione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.