L\u2019Autorit\u00e9 garante pour la\nprotection des donn\u00e9es personnelles, par l\u2019arr\u00eat\u00e9 n\u00b0 17 du 23 janvier 2020, qui\nsanctionne une universit\u00e9 italienne pour ne pas avoir prot\u00e9g\u00e9 de mani\u00e8re\nad\u00e9quate la confidentialit\u00e9 des donn\u00e9es d\u2019identification de deux sujets, les\nlanceurs d\u2019alerte, qui avaient signal\u00e9 de potentiels comportements illicites, a\nr\u00e9it\u00e9r\u00e9 l\u2019existence d\u2019une obligation, pour l\u2019employeur \u00ab Responsable du\ntraitement \u00bb (aux termes de l\u2019article 4 du R\u00e8glement UE 2016\/679, le \u00ab RGPD \u00bb)\nde mettre en \u0153uvre des mesures techniques et organisationnelles adapt\u00e9es pour\ngarantir la protection des donn\u00e9es personnelles trait\u00e9es (cf. Newsletter du\ngarant n\u00b0 462 du 18 f\u00e9vrier 2020).<\/p>\n\n\n\n
De mani\u00e8re plus sp\u00e9cifique, \u00e0\nl\u2019\u00e9poque des faits, l\u2019Universit\u00e9, pour r\u00e9pondre aux obligations de protection\nad\u00e9quate du salari\u00e9 qui signale des conduites illicites au sein de\nl\u2019environnement de travail (le \u00ab lanceur d\u2019alerte<\/em> \u00bb\nintroduit dans le droit italien par le d\u00e9cret l\u00e9gislatif n\u00b0 165 du 30 mars\n2001), avait choisi d\u2019utiliser une solution technologique. Dans ce cas, pour\ngarantir la protection de l\u2019acquisition et de la gestion des signalements des\ncomportements illicites, l\u2019Universit\u00e9 avait recours \u00e0 l\u2019utilisation d\u2019une\nplateforme logicielle fournie par un sujet tiers ext\u00e9rieur \u00e0 l\u2019organisation de\nl\u2019Universit\u00e9 en elle-m\u00eame.<\/p>\n\n\n\n Pendant une modification avec\nmise \u00e0 jour simultan\u00e9e du logiciel, un ph\u00e9nom\u00e8ne dit d\u2019\u00e9crasement des\nautorisations d\u2019acc\u00e8s s\u2019est produit, ce qui a entra\u00een\u00e9 l\u2019exposition des donn\u00e9es\npersonnelles des deux lanceurs d\u2019alerte<\/em>, sur certains moteurs de\nrecherche accessibles et visualisables par quiconque effectuait une recherche\nsur Internet.<\/p>\n\n\n\n Face \u00e0 quoi, l\u2019Universit\u00e9 a\nnotifi\u00e9 l\u2019Autorit\u00e9 garante pour la protection des donn\u00e9es personnelles d\u2019une\nviolation, appel\u00e9e data breach<\/em>, par laquelle elle d\u00e9non\u00e7ait la\ndispersion des donn\u00e9es personnelles courantes des deux lanceurs d\u2019alerte<\/em>\nsur le r\u00e9seau public, rendues de cette mani\u00e8re potentiellement consultables par\ntous. <\/p>\n\n\n\n