Lepida S.c.p.A.
Ordinanza ingiunzione con sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da Lepida S.c.p.A. relativamente alla gestione dell'identità digitale LepidaID per violazione degli artt. 5 par. 1 lett. c), e), f), art. 13 par. 1 lett. a), e artt. 25 e 32 del GDPR. Sono stati accertati: carenze nei principi di integrità e riservatezza; lacune nell'informativa agli interessati; insufficienti misure tecniche e organizzative di sicurezza; accesso eccessivamente ampio agli operatori; problematica gestione dei dati biometrici. Archiviata parzialmente la contestazione relativa al tracciamento delle transazioni. Ordinato il pagamento di € 100.000,00 con pubblicazione dell'ordinanza ingiunzione.
Approfondimento
Soggetti coinvolti
Oltre 1,5 milioni di persone in possesso di identità LepidaID rilasciate da Lepida S.c.p.A. nel corso del tempo; circa 1 milione di identità rilasciate nel sistema FedERa; oltre 7.000 operatori abilitati presso circa 1.800 sportelli LepidaID
Riferimenti normativi
Lettura del caso
Temi affrontati — Protezione dei dati personali nel contesto di gestione dell'identità digitale SPID; principi di liceità, correttezza e trasparenza; integrità e riservatezza dei dati; misure di sicurezza tecniche e organizzative; accesso ai dati personali da parte degli operatori; gestione della documentazione contenente dati biometrici; informativa agli interessati; data breach
Conseguenze — Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da Lepida S.c.p.A. per violazione dell'art. 5 par. 1 lett. c), e), f), art. 13 par. 1 lett. a), e artt. 25 e 32 del GDPR. Ordina a Lepida S.c.p.A. il pagamento di euro 100.000,00 a titolo di sanzione amministrativa pecuniaria, con facoltà di definizione della controversia mediante pagamento di euro 50.000,00 entro 30 giorni. In caso di mancata definizione, dispone il pagamento di euro 100.000,00 entro 30 giorni dalla notificazione, pena atti esecutivi. Archivia parzialmente la contestazione concernente le modalità di conservazione del tracciamento delle transazioni. Dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità.
- elevato numero di interessati (oltre 1,5 milioni di persone)
- trattamento riguardante identità digitali, elemento indefettibile di cittadinanza digitale
- ampiezza delle violazioni in materia di sicurezza e integrità. Fattori
- assenza di precedenti violazioni pertinenti
- numerose misure di conformità adottate nel corso degli accertamenti e della successiva istruttoria
- elevato livello di cooperazione con l'Autorità
- notifica tempestiva della violazione di dati personali
- circoscrizione del difetto informativo a porzione ridotta di interessati
- campagne di comunicazione istituzionale e attività di promozione della protezione dei dati condotte da Lepida precedentemente alla violazione
- natura di società in house della Regione Emilia-Romagna
La gestione dell'accesso agli operatori all'Area Riservata e al Backoffice LepidaID presentava criticità significative: gli operatori potevano consultare dati personali di qualsiasi utente indipendentemente dalla sede di assegnazione; era possibile visualizzare documentazione contenente dati biometrici (documento di identità, tessera sanitaria) scaricandola sulla postazione di lavoro, con rischio di non cancellazione; insufficiente segregazione dei dati e controllo degli accessi basato su ruoli.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.