Avv. Vincenzo Colarocco
Con il provvedimento n. 83 del 9 aprile 2019 il Garante privacy offre preziosi spunti e raccomandazioni da tenere in debita considerazione per lo svolgimento della “Privacy Impact Assessment” (c.d. “PIA”, cfr. art. 35 GDPR) e per l’adozione di misure di sicurezza tecniche e organizzative idonee a garantire la protezione dei dati personali (cfr. art. 32 GDPR).
Nel caso di specie l’Autorità, chiamata a pronunciarsi in merito all’adeguatezza dei sistemi informatici riferiti alla piattaforma Rousseau e ad altri siti connessi al “Movimento 5 Stelle”, ha prescritto l’adozione di misure necessarie e opportune al fine di rendere i trattamenti dei dati personali degli utenti di tali siti web conformi ai principi della disciplina in materia di protezione dei dati personali, a tal fine ingiungendo all’”Associazione Rousseau” “quale responsabile del trattamento e in tale qualità trasgressore, il pagamento entro 180 giorni dalla data di ricezione del presente provvedimento, di euro 50.000 a titolo di sanzione per la violazione di cui al combinato disposto degli artt. 32 e 83, paragrafo 4, lettera a) del Regolamento”.
L’Autorità, in particolare, ha ritenuto che, malgrado un sostanziale innalzamento dei livelli di sicurezza inizialmente previsti nell’ambito dei siti web oggetto del provvedimento n. 548 del 21 dicembre 2017, il trattamento di specie fosse comunque posto in essere in violazione della normativa vigente. Tanto in virtù dell’evidenza che il detto trattamento aveva ad oggetto anche dati particolari di cui all’art. 9 del GDPR e che la violazione si protraeva per un tempo significativo, interessando un rilevante numero di soggetti, riscontrandosi quindi una carenza di misure tecniche ed organizzative nonché l’utilizzo di sistemi e dispositivi obsoleti. Infatti, tale circostanza, unitamente a quanto rilevato in materia di auditing informatico, renderebbe evidente come le misure adottate -consistenti in procedure organizzative o comunque non basate su automatismi informatici- lasciando esposti i risultati delle votazioni ad accessi ed elaborazioni di vario tipo, non garantirebbero l’adeguata protezione dei dati personali relativi alle votazioni online.
Tanto premesso il Garante, in conformità con quanto previsto dall’art. 32 del GDPR, ha accertato il “mancato, completo tracciamento degli accessi al database del sistema Rousseau e delle operazioni sullo stesso compiuti” nonché la “condivisione delle credenziali di autenticazione da parte di più incaricati dotati di elevati privilegi per la gestione delle piattaforma Rousseau e la mancata definizione e configurazione dei differenti profili di autorizzazione in modo da limitare l’accesso ai solo dati necessari nei diversi ambiti di operatività”.
Related Posts
