Tag: principio di integrità e riservatezza

• GPDP, Docweb 9768363, 11.5.2022 (6)

  Massima (6) – Il trattamento dei dati personali effettuato mediante i sistemi di acquisizione gestione delle segnalazioni di attività illecite (whistleblowing) presenta rischi specifici per i diritti e le libertà degli interessati, considerata anche la particolare delicatezza delle informazioni potenzialmente trattate, la “vulnerabilità” degli interessati nel contesto lavorativo, nonché lo specifico regime di riservatezza dell’identità del segnalante previsto dalla normativa di settore. In relazione a tale trattamento sussiste pertanto l’obbligo di effettuare preventivamente la valutazione di impatto di cui all’art. 35 GDPR, necessaria a individuare misure specifiche per attenuare i rischi derivanti da tale trattamento.

• GPDP, Docweb 9768363, 11.5.2022 (5)

  Massima (5) – Le credenziali di autenticazione (una per verifica dell’anagrafica dei segnalanti e una per la gestione delle segnalazioni di attività illecite) assegnate ed utilizzate dal RPCT quale soggetto legittimato alla gestione del whistleblowing, devono essere immediatamente disattivate qualora lo stesso rassegni le proprie dimissioni, anche se abbia provveduto a consegnare le predette credenziali al responsabile dell’Ufficio prevenzione della corruzione, trasparenza e trattamento dei dati personali all’interno di una busta chiusa, affinché le stesse vengano consegnate al nuovo RPCT. Allo stesso modo va impedito che il RPCT dimissionario possa avere accesso alle notifiche dell’avvenuta iscrizione di un segnalante e della ricezione di una segnalazione, qualora l’applicativo web per la gestione del whistleblowing provveda a trasmettere tali informazioni ad un indirizzo di posta elettronica preimpostato.

• GPDP, Docweb 9768363, 11.5.2022 (4)

  Massima (4) – La registrazione e la conservazione, nei log degli apparati firewall, delle informazioni relative alle connessioni all’applicativo utilizzato per la segnalazione di condotte illecite (whistleblowing), che consentono la tracciabilità dei soggetti che utilizzano tale applicativo, tra i quali i segnalanti, non risulta conforme alla disciplina in materia di protezione dei dati personali, con particolare riferimento agli artt. 5, par. 1, lett. f) e 32 del GDPR, in materia di sicurezza e all’art. 25 GDPR, in tema di privacy by design e by default, in quanto le predette informazioni, direttamente identificative degli utenti dell’applicativo, finiscono per rendere del tutto inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti.

• GPDP, Docweb 9768363, 11.5.2022 (3)

  Massima (3) – I trattamenti di dati personali effettuati per finalità di acquisizione e gestione di segnalazioni di condotte illecite (c.d. whistleblowing) vanno censiti nel registro delle attività di trattamento di cui all’art. 30 GDPR, che deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante. La tenuta del registro è funzionale al rispetto del principio di “responsabilizzazione” del titolare (art. 5, par. 2, GDPR), in quanto costituisce uno strumento idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno dell’organizzazione del titolare. Ciò risulta particolarmente rilevante con riguardo alle attività di valutazione e di analisi del rischio, costituendo, pertanto, un adempimento preliminare rispetto a tali attività.

• GDPD, Docweb 9768363, 11.5.2022 (2)

  Massima (2) – Nell’ambito della disciplina relativa alla tutela del dipendente pubblico che segnala illeciti e di quella in materia di whistleblowing riferita ai soggetti privati, andata ad integrare la normativa in materia di responsabilità amministrativa delle persone giuridiche, il titolare del trattamento (considerata anche la particolare delicatezza delle informazioni potenzialmente trattate e la “vulnerabilità” degli interessati nel contesto lavorativo), anche quando utilizza prodotti o servizi realizzati da terzi oltre all’assolvimento dell’obbligo di rendere adeguate informazioni agli interessati deve eseguire, anche avvalendosi del supporto del responsabile della protezione dei dati ove nominato, una valutazione dei rischi e accertarsi che siano disattivate le funzioni che non hanno una base giuridica, non sono compatibili con le finalità del trattamento, ovvero si pongono in contrasto con specifiche norme di settore previste dall’ordinamento.

• La tutela dell’identità del segnalante nel quadro della disciplina dettata in materia di segnalazioni di condotte illecite (“whistleblowing”)

  GPDP, Docweb n. 9768363 dell’11 maggio 2022 | Massime e Commento di Luca Petrone

• GPDP, Docweb 9544504, 27.1.2021 (3)

  Massima (3) – La condotta dell’interessata non rileva ai fini della valutazione dell’illiceità del trattamento in relazione alla violazione dei dati personali, là dove la violazione sia comunque imputabile all’inadeguatezza delle misure tecniche e organizzative implementate, a prescindere dalla supposta incidenza causale della condotta dell’interessato medesimo sugli eventi. Né rileva, ai fini della valutazione dell’illecito, la circostanza che il terzo, a cui siano stati comunicati illecitamente i dati relativi alla salute dell’interessata (causa del ricovero ospedaliero), sia un prossimo congiunto che li abbia comunque appresi in altro modo.

• GPDP, Docweb 9544505, 27.1.2021 (2)

  Massima (2) – Nell’ambito della gestione dei dati personali dei pazienti, con particolare attenzione a quelli particolari, la cui indebita comunicazione o diffusione sarebbe in grado di incidere significativamente sui diritti e le libertà degli interessati, l’Azienda sanitaria è tenuta a mettere in atto misure tecniche ed organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. In questo senso, la mera specificazione, nel documento di attribuzione del ruolo di incaricato del trattamento, prima, e autorizzato del trattamento, poi, conferito all’infermiera di una struttura sanitaria, si è da ritenersi insufficiente a garantire l’effettività dei principi inerenti al trattamento dei dati personali, in particolare di correttezza e trasparenza, se non corroborata da ulteriori adeguate misure tecniche e/o organizzative – richieste dall’art. 5, par. 1, lett. f) e dall’art. 32 GDPR – che tengano nella dovuta considerazione il particolare contesto ospedaliero in cui siffatti trattamenti di dati personali, anche estremamente delicati, hanno luogo (la circostanza che un’infermiera di un reparto di ginecologia si trovi a doversi destreggiare contemporaneamente tra due o più pazienti non rappresenta infatti un evento imprevedibile, tale da giustificare la comunicazione dei dati dell’interessata, relativi all’interruzione volontaria della gravidanza, al di lei marito, in presenza di un diniego espresso dalla paziente).

• GPDP, Docweb 9544504, 27.1.2021 (1)

  Massima (1) – La disciplina in materia di protezione dei dati personali (considerando n. 35 e art. 9 GDPR, nonché art. 83 d.lgs. 196/2003, in combinato disposto con l’art. 22, co. 11, d.lgs. 101/ 2018) prevede, in ambito sanitario, che le informazioni sullo stato di salute possano essere riferite solo all’interessato e possano essere comunicate a terzi solo sulla base di un idoneo presupposto giuridico o su specifica indicazione dell’interessato stesso, previa delega scritta di quest’ultimo.

• Illecita comunicazione di dati relativi all’interruzione volontaria della gravidanza da parte di una struttura sanitaria al marito della paziente

  GPDP, Docweb n. 9544504 del 27 gennaio 2021 | Massime e Commento di Luca Petrone