Istituto Omnicomprensivo Scuola Europea di Brindisi
ammonimento
Sintesi del provvedimento
L'Istituto ha inviato una comunicazione relativa alle elezioni RSU con gli indirizzi email personali dei destinatari in chiaro anziché in copia nascosta, causando la reciproca conoscenza dei dati personali. Pur riconoscendo la violazione dovuta a errore umano, il Garante ha ammonito l'Istituto senza irrogare sanzione pecuniaria, considerato il carattere episodico della violazione e le misure correttive adottate.
L'errore umano non esclude la violazione della normativa privacy, ma può giustificarne l'ammonimento anziché la sanzione pecuniaria se accompagnato da mero carattere episodico e da adeguate misure correttive.
Approfondimento
Soggetti coinvolti
quarantatré lavoratori del personale tecnico-amministrativo e sette sigle sindacali
Riferimenti normativi
Lettura del caso
Temi affrontati — comunicazione non consensuale di dati personali in assenza di base giuridica
Conseguenze — L'Istituto Omnicomprensivo Scuola Europea di Brindisi è ammonito per la violazione. Il provvedimento sarà pubblicato sul sito internet dell'Autorità. Le violazioni e misure adottate saranno annotate nel registro interno dell'Autorità. L'Istituto deve astenersi da ulteriori comunicazioni mediante indirizzi email personali senza base giuridica e garantire l'utilizzo esclusivo degli indirizzi istituzionali.
- violazione episodica verificatasi per mero errore umano in fase di invio (art. 83 par. 2 lett. a e b GDPR)
- dati personali consistenti esclusivamente in indirizzi email, non dati di categorie particolari (art. 83 par. 2 lett. g GDPR)
- assenza di precedenti violazioni pertinenti (art. 83 par. 2 lett. e GDPR)
- buon livello di cooperazione dell'Istituto con l'Autorità durante l'istruttoria e adozione di iniziative per mitigare le conseguenze e prevenire episodi futuri (art. 83 par. 2 lett. f GDPR)
- qualificazione della violazione come minore secondo linee guida WP 253 e Endorsement 1/2018
Un errore materiale nella composizione di un messaggio di posta elettronica può costituire violazione GDPR anche se non intenzionale; utilizzare sempre la funzione CCN per comunicazioni a destinatari multipli.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.