Il Garante per la Privacy, con il provvedimento n. 161 del 17 settembre 2020, ha sanzionato un’Azienda ospedaliera per aver trattato illecitamente i dati di oltre 2000 aspiranti infermieri con una multa di 80.000 Euro, insieme alla società che gestiva la piattaforma per la raccolta online delle domande dei partecipanti cui è stata irrogata la sanzione di 60.000 Euro.
La vicenda in esame ha origine da una segnalazione, con la quale veniva lamentato il fatto che i dati dei candidati ad una selezione – in alcuni casi anche relativi alla salute (titoli di preferenza e certificazioni mediche) – fossero liberamente accessibili online. Infatti, tramite la piattaforma per la gestione delle domande, a causa di un’errata configurazione dei sistemi, per un determinato arco temporale era stato possibile visualizzare un elenco di codici, assegnati ai candidati al momento dell’iscrizione al concorso, che attraverso semplici passaggi consentivano l’accesso a un’area del portale nella quale erano contenuti i documenti presentati dai partecipanti. Inoltre, attraverso i codici sarebbe stato possibile anche apportare modificare i dati personali inseriti dai concorrenti.
L’Autorità dopo un complesso procedimento istruttorio ha evidenziato numerosi e gravi inadempimenti alla disciplina di protezione dati, riscontrando, da parte sia dell’Azienda che della società di gestione della piattaforma, la mancata adozione di adeguate misure tecniche e organizzative per garantire la sicurezza e l’integrità dei dati. L’Azienda ospedaliera, oltretutto, non aveva fornito ai partecipanti una idonea informativa e aveva anche omesso di regolamentare il rapporto con la Società che gestiva la piattaforma con un contratto o con un altro atto giuridico che disciplinasse il trattamento di dati effettuato per suo conto, senza quindi una formale nomina quale responsabile del trattamento ai sensi dell’art. 28 del Gdpr. Il Garante, infine, riscontrato che la Società continuava a conservare e rendere disponibili sulla propria piattaforma i dati dei partecipanti anche dopo la cessazione della fornitura del servizio, ha vietato ogni ulteriore trattamento ad eccezione di quanto necessario per la difesa dei diritti in sede giudiziaria. L’Autorità tenuto conto della particolare delicatezza dei dati diffusi, oltre alla sanzione pecuniaria ha applicato la sanzione accessoria della pubblicazione dei due provvedimenti sul proprio sito web.
