Il Garante sanziona i sistemi di whistleblowing che non garantiscono la riservatezza dei dati trattati

Il 7 aprile 2022, con una ordinanza di ingiunzione emessa nei confronti di una Azienda ospedaliera, l’Autorità Garante per la protezione dei dati personali (il “Garante”) ha rilevato l’illiceità del trattamento di dati effettuato nell’ambito della gestione di un sistema di whistleblowing dalla stessa adottato.

Con il medesimo provvedimento, il Garante ha sanzionato la società informatica incaricata di gestire il servizio per denunciare le presunte attività corruttive o comportamenti illeciti all’interno dell’ente, la quale agiva in qualità di responsabile del trattamento dei dati personali.

Il Garante ha, innanzitutto, rilevato che l’Azienda ospedaliera, nella sua qualità di Titolare del trattamento, non aveva provveduto a rendere, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (il “GDPR”), una specifica e preventiva informativa circa i trattamenti di dati personali effettuati a seguito di una segnalazione. Ciò, in violazione del principio di “liceità, correttezza e trasparenza” che impone al titolare del trattamento l’obbligo di fornire preventivamente ai soggetti interessati specifiche informazioni sul trattamento dei dati adottando “misure appropriate” per raggiungere tutti i destinatari.

È emerso, altresì, che l’Azienda sanitaria non aveva provveduto (i) a tracciare i trattamenti effettuati all’interno del Registro delle attività di trattamento in conformità con quanto disposto dall’articolo 30 del GDPR nonché ad effettuare una preliminare valutazione di impatto privacy.

Il Garante, con l’occasione, ha ricordato che il trattamento dei dati personali mediante i sistemi di acquisizione e gestione delle segnalazioni presenta dei rischi specifici per i diritti e le libertà degli interessati in virtù “della particolare delicatezza delle informazioni potenzialmente trattate, della “vulnerabilità” degli interessati nel contesto lavorativo, nonché dello specifico regime di riservatezza dell’identità del segnalante previsto dalla normativa di settore”.

È stato anche rilevato che:

• durante la fase di sostituzione del soggetto Responsabile della prevenzione della corruzione e della trasparenza non era stata adottata una corretta gestione delle credenziali di autenticazione per l’accesso all’applicazione web in uso e
• la società informatica incaricata dall’ente di gestire il sistema di whistleblowing si era a propria volta avvalsa di un (sub) fornitore per il servizio di hosting dei sistemi che ospitavano l’applicativo omettendo di fornire specifiche istruzioni sul trattamento dei dati nonché di darne notizia all’Azienda sanitaria (titolare del trattamento) ed aveva utilizzato il medesimo servizio di hosting anche per proprie e ulteriori finalità.

La decisione del Garante

Tutto ciò rilevato, il Garante ha comminato, all’Azienda sanitaria e alla società informatica, una sanzione di euro 40.000 concedendo all’ente ulteriori 30 giorni di tempo per adeguare il rapporto con il proprio fornitore alla normativa in materia.

◊◊◊◊

Come specificato nel comunicato condiviso dal Garante, l’attività istruttoria effettuata nel caso di specie si inserisce “nell’ambito di un ciclo di attività ispettive sulle modalità di trattamento dei dati acquisiti tramite i sistemi di whistleblowing, in particolare quelli più utilizzati in Italia dai datori di lavoro”.

Altri insights correlati:

• Whistleblowing: in arrivo il decreto che recepisce la Direttiva comunitaria
• Whistleblowing: legge italiana e Direttiva UE a confronto