Università di Pisa
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante accerta la comunicazione illecita di dati personali di studenti tramite portale di iscrizione agli esami senza idoneo fondamento giuridico e con misure di sicurezza inadeguate. Inflitti 15.000 euro di sanzione amministrativa pecuniaria per violazione degli articoli 5, 6, 25 e 32 del GDPR e dell'articolo 2-ter del Codice Privacy.
La comunicazione di dati personali per finalità organizzative, anche se congruente con principi normativi come la pubblicità degli esami, richiede una base giuridica specifica e misure tecniche di sicurezza proporzionate.
Approfondimento
Soggetti coinvolti
137 studenti interessati dalla comunicazione illecita
Riferimenti normativi
Lettura del caso
Temi affrontati — Comunicazione illecita dati personali, mancanza di base giuridica, misure di sicurezza inadeguate
Conseguenze — L'Università di Pisa è obbligata a pagare 15.000 euro entro 30 giorni dalla notifica, con facoltà di definizione della controversia mediante pagamento di 7.500 euro entro il medesimo termine. Ordinanza pubblicata sul sito del Garante. Annotazione nel registro interno dell'Autorità.
- numerosità degli interessati, comunicazione di dati personali senza base giuridica, misure di sicurezza inadeguate. Gravità della violazione: media. Fattori
- adozione di misure tecniche di sicurezza da parte dell'Università, assenza di precedenti violazioni pertinenti, grado di cooperazione con l'autorità di controllo, natura colposa della violazione, assenza di categorie particolari di dati
I sistemi di gestione dei dati universitari devono garantire base giuridica per ogni comunicazione, anche interna, e implementare controlli di accesso e misure di sicurezza adeguate al rischio.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.