Garante Privacy
Concorsi pubblici: i dati dei partecipanti devono essere blindati
Sanzionati un’azienda ospedaliera e una società per complessivi 140 mila euro.
Per aver trattato illecitamente i dati di oltre 2000 aspiranti infermieri l’Azienda ospedaliera Cardarelli di Napoli si è vista applicare dal Garante per la privacy una multa di 80mila euro. Un’altra sanzione di 60mila euro è stata irrogata alla società che gestiva la piattaforma per la raccolta online delle domande dei partecipanti.
A seguito di una segnalazione, con la quale si lamentava il fatto che i dati dei candidati alla selezione - in alcuni casi anche relativi alla salute (titoli di preferenza e certificazioni mediche) - fossero liberamente accessibili online, l’Autorità ha avviato una complessa istruttoria, anche attraverso accertamenti ispettivi, che ha messo in luce numerosi e gravi inadempimenti alla disciplina di protezione dati.
Collegandosi alla piattaforma per la gestione delle domande, per un’errata configurazione dei sistemi, in un determinato arco temporale era stato infatti possibile visualizzare un elenco di codici, assegnati ai candidati al momento dell’iscrizione al concorso, che attraverso semplici passaggi consentivano l’accesso a un’area del portale nella quale erano contenuti i documenti presentati dai partecipanti. Utilizzando i codici si sarebbe perfino potuto modificare i dati personali inseriti dai concorrenti.
L’Autorità ha ritenuto illeciti i trattamenti di dati personali svolti dall’Azienda ospedaliera e dalla Società perché effettuati in violazione delle norme del Regolamento europeo.
Entrambi i soggetti non avevano infatti adottato adeguate misure tecniche e organizzative per garantire la sicurezza e l’integrità dei dati. L’Azienda ospedaliera, oltretutto, non aveva fornito ai partecipanti una idonea informativa e aveva anche omesso di regolamentare il rapporto con la Società che gestiva la piattaforma con un contratto o con un altro atto giuridico che disciplinasse il trattamento di dati effettuato per suo conto. Il Garante infine, rilevato che la Società continuava a conservare e rendere disponibili sulla propria piattaforma i dati dei partecipanti anche dopo la cessazione della fornitura del servizio, ha vietato ogni ulteriore trattamento ad eccezione di quanto necessario per la difesa dei diritti in sede giudiziaria. Entro 30 giorni la Società dovrà comunicare all’Autorità le iniziative prese per assicurare la cessazione del trattamento.
Nella quantificazione della sanzione il Garante ha tenuto in particolare considerazione il fatto che le violazioni sono connesse a un trattamento iniziato subito dopo la definitiva applicazione del Regolamento.
L’Autorità tenuto conto della particolare delicatezza dei dati diffusi, oltre alla sanzione pecuniaria ha applicato la sanzione accessoria della pubblicazione dei due provvedimenti sul proprio sito web.
Fonte: comunicato del Garante Privacy
La Direzione
(5 ottobre 2020)
© RIPRODUZIONE CONSENTITA Italian Open Data License 2.0
(indicazione fonte e link alla pagina)
DIVENTA FAN DEL QUOTIDIANO DELLA P.A.
Follow @quotidianopaPotrebbe Interessarti
Comunicato Importante Selezione Docenti Accademia della P.A.
La Fondazione Gazzetta Amministrativa della Repubblica Italiana, in vista dell’apertura delle sedi dell’Accademia della PA in tutto il territorio nazionale, ricerca e seleziona personale per singole docenze in specifiche materie delle Autonomie locali da svolgersi presso le Accademie della PA e per le attività di assistenza nelle procedure complesse nei Centri di Competenza.
Newsletter Quotidiano della P.A.
Incorpora le Notizie del QPA
Inserisci sul sito del tuo Ente, sul tuo sito o sul tuo blog, le ultime notizie pubblicate dal Quotidiano della P.A.
Accedi all'interfaccia per l'inserimento cliccando sul pulsante di seguito:
