Regione Autonoma della Sardegna
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679 nonché 2-ter del Codice Privacy. La violazione consiste nella trasmissione non autorizzata di dati relativi al rendimento lavorativo di una dipendente (scheda di valutazione della performance) all'Amministrazione presso cui la stessa aveva da poco preso servizio, mediante trasmissione a un indirizzo PEC istituzionale anziché a quello personale preventivamente indicato. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione dell'ordinanza sul sito web del Garante.
Approfondimento
Soggetti coinvolti
Un interessato (la riclamante)
Riferimenti normativi
Lettura del caso
Temi affrontati — Principio di liceità, correttezza e trasparenza del trattamento (art. 5, par. 1, lett. a) GDPR); assenza di base giuridica (art. 6 GDPR); divulgazione non autorizzata di dati personali relativi al rendimento lavorativo in ambito della pubblica amministrazione; trattamento di dati personali in contesto lavorativo pubblico; errore umano nella trasmissione di comunicazioni contenenti dati personali sensibili
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna e ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00 per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR nonché 2-ter del Codice Privacy. È offerta la facoltà di definire la controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione (€ 1.500,00). In caso di mancata definizione, l'importo completo di € 3.000,00 dovrà essere pagato entro 30 giorni dalla notificazione del provvedimento, pena l'adozione di atti esecutivi. Il Garante dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità e l'annotazione delle violazioni nel registro interno.
Gravità della violazione: bassa. Divulgazione non autorizzata di dati relativi al rendimento lavorativo (art. 83, par. 2, lett. a) GDPR). Carattere colposo della violazione dovuto a errore umano isolato in contesto di urgenza (art. 83, par. 2, lett. b) GDPR). Dati non appartenenti alle categorie particolari di cui all'art. 9 GDPR (art. 83, par. 2, lett. g) GDPR). Discreto grado di cooperazione del titolare nel corso dell'istruttoria (art. 83, par. 2, lett. f) GDPR). Assenza di precedenti violazioni pertinenti (art. 83, par. 2, lett. e) GDPR). Linee guida 4/2022 del Comitato europeo per la protezione dei dati sul calcolo delle sanzioni amministrative.
Trasmissione errata di dati personali a una Amministrazione terza non autorizzata a riceverli in conseguenza di errore umano nella gestione documentale. Importanza della corretta identificazione dei destinatari nelle comunicazioni contenenti dati personali in ambito pubblico. Obblighi di controllo e corretta implementazione di sistemi di gestione documentale con privilegi di abilitazione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.