Con un recente provvedimento 7 aprile 2022 il Garante per la Protezione dei dati personali, in occasione di attività ispettiva, ha sanzionato un’azienda ospedaliera e la società informatica dalla stessa incaricata per la gestione della segnalazione delle attività corruttive o comportamenti illeciti all’interno dell’ente (c.d. whistleblowing).
Dall’istruttoria è emerso che la piattaforma messa a disposizione dall’ospedale per la segnalazione degli illeciti era programmata con sistemi non correttamente configurati, che registravano e conservano i dati di navigazione degli utenti, consentendone l’identificazione di chi la utilizzava, tra cui i potenziali segnalanti, contrariamente a quanto prescritto dalla normativa.
Oltre a ciò, l’azienda ospedaliera non aveva fornito agli interessati l’informativa sul trattamento dei dati personali effettuato per finalità di segnalazione degli illeciti, non aveva inserito tale trattamento nel registro e non aveva svolto una valutazione d’impatto privacy (DPIA), prima di avviare detta attività. Era infine emersa una scorretta gestione delle credenziali di autenticazione per l’accesso all’applicazione web di whistleblowing da parte del Responsabile della prevenzione della corruzione e della trasparenza (RPCT).
Il Garante ha altresì sanzionato la società informatica (Responsabile del trattamento) fornitore del software di whistleblowing per non aver informato il Titolare del trattamento (azienda ospedaliera) dell’intenzione di avvalersi di un fornitore esterno per il servizio di hosting dei sistemi che ospitavano l’applicativo, cui non erano state riferite specifiche istruzioni sul trattamento dei dati degli interessati.
Il Garante, valutando positivamente la collaborazione dell’ente nel corso dell’istruttoria, ha comminato sia all’azienda ospedaliera, sia alla società informatica una sanzione di € 40.000, ed ha assegnato alla società informatica un termine di trenta giorni per l’adeguamento.
Per ogni ulteriore informazione scrivere a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.
avv. Martina Pasetto