Non basta pubblicare sul sito internet le informative sul trattamento dei dati se non sono corrette e dettagliate (provv.8 del 13/01/2022)

Abstract: Non basta assolvere formalmente all’obbligo di pubblicare le informative e/o di consegnarle agli interessati al trattamento se poi sono realizzate in maniera superficiale,  incompleta o non corretta. La ASL di Frosinone per questa ragione è stata sanzionata e a nulla sono servite le solite giustificazioni di carenza di personale o l’eergenza Covid. Queste grandi somme non devono essere pagate dai contribuenti, ma dai dirigenti e funzionari della ASL, come già ha iniziato a infliggere la Corte dei Conti.

Keywords: #garanteprivacy #garanteprotezionedatipersonali #sanzioniprivacy #sanzionigaranteprivacy #GDPR #informativa #informativatrattamentodati #ASLFrosinone #Frosinone #Lazio #FR #MassimilianoMancini #ethicasocietas #ethicasocietasupli

Il fatto illecito

È giunta una segnalazione al Garante relativa al sito istituzionale della ASL di Frosinone dove nella parte relativa all’informativa sul trattamento dei dati https://www.asl.fr.it/Ufficio-privacy, sarebbe stato indicato il consenso come base giuridica del trattamento dei dati personali svolti per finalità di cura degli interessati.

I fatti accertati

Il Garante ha svolto le indagini sul caso accertando che, oltre alle irregolarità nella stesura delle informative, sono stati accertati anche ulteriori profili di criticità, in particolare sul rispetto dei principi di correttezza e trasparenza di cui agli artt. 12 e 13 del Regolamento e nello specifico:

• informative che indicavano basi giuridiche del trattamento dei dati “erronee o contraddittorie”, in alcuni casi addirittura omesse e in altre citate sempre le stesse identiche, quasi come clausola di stile copiate, in particolare ” … per finalità di cura, veniva poi erroneamente ribadita l’indispensabilità del consenso degli interessati per poter accedere alle cure o in relazione al trattamento dei dati per le finalità amministrative ad esse correlate.”, violando quindi l’obbligo di correttezza e trasparenza nel trattamento dei dati personali devono essere trattati (art. 5, par. 1 lett. a) [1];
  
• in molti casi era omessa l’indicazione del periodo di conservazione dei dati personali, violando i prinipi fondamentali del trattamentom dei datoi che costituscono l’accountability (art. 5, par.2) [2];
• in alcune informative era indicato il legittimo interesse del titolare, che non è consentito nei trattamenti dei dati effettuato dalle autorità pubbliche (art. 6, par. 1 lett. f) [3];
• giustificazione inammissibili per il trattamento di categorie particolari di dati (c.d. dati sensibili), indicato nelle informative nell’interesse legittimo, quando il Regolamento ne consente il trattamento solo nei casi tassativi indicati (art.9 par.2) [4].

Il comportamento della ASL di Frosinone

Nelle repliche e nell’audizione che ha richiesto presso il Garante, la Asl di Frosinone si è difesa sostenendo che:

• era precedentemente commissariata, è stata soggetta a vari controlli e ha sostenuto diversi contenziosi giudiziari, incidendo nella quotidianità nella gestione dei processi;
• è stata coinvolta in maniera molto importante dalla pandemia, anche per il grande numero degli assististi che sono circa 500.000, oltre 3 carceri, 2 REMS e 4 ospedali”;
• l’organico è molto sotto la media nazionale e quindi l’apparato burocratico amministrativo a supporto della gestione è assolutamente insufficiente;
• ha aggiornato prontamente il sito internet che conteneva anche vecchi contenuti;
• la maggior parte delle contestazioni sollevate dal Garante sono in realtà refusi materiali, es. sottoscrizione da parte del DPO delle informative”;
• le informative sono state rinnovate anche da un punto di vista grafico”;
• è stato attivato un corso di formazione per l’aggiornamento sulla disciplina in materia di protezione dei dati personali.

L’Azienda, in base a tutto ciò ha chiesto l’archiviazione del procedimento o in subordine, “pur senza riconoscere la fondatezza delle contestazioni, l’applicazione di una sanzione nella minore entità possibile”.

La sanzione

Il Garante ha dichiarato illecito il trattamento eseguiro dalla ASL di Frosinone e ha inflitto:

• di pagare la somma di € 7.500,00 a titolo di sanzione amministrativa pecuniaria, entro 30 giorni dalla notifica del provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;
• la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

SCARICA L’ORDINANZA INGIUNZIONE:  Sanzione ASL Frosinone, GarantePrivacy n.8 del 13/01/2022.

NOTE

[1] Reg.UE 2016/679 GDPR art. 5 (Principi applicabili al trattamento di dati personali) lett. c «1. I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); …omissis…».

[2] Reg.UE 2016/679 GDPR art. 5 «2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»)».

[3] Reg.UE 2016/679 GDPR art.6 (Liceità del trattamento) «1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: […omissis…]  f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti».

ALTRE SANZIONI PER ENTI PUBBLICI:

20.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI ORTE (VT)

150.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI TARANTO

3.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI MONTE S.ANGELO (FG)

3.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI S.MARCO IN LAMIS (FG)

30.000 EURO DI MULTA DAL GARANTE PER IL COMUNE DI FORMIA (LT)

75.000 EURO DI MULTA DAL GARANTE PER IL MISE E LA REGIONE LAZIO

GLI ALTRI ARTICOLI SULLA PRIVACY DELLO STESSO AUTORE:

USO ILLEGITTIMO DELLE FOTOTRAPPOLE E INAMMISSIBILITÀ DA PARTE DI AZIENDE PRIVATE

IL DIRITTO DI ACCESSO E LA TRASPARENZA NON SONO VALORI ASSOLUTI

DELLE VIOLAZIONI ALLA PRIVACY RISPONDONO I DIPENDENTI DELL’ENTE

RIPRESE ILLECITE POLIZIA SANZIONATA DAL GARANTE

I PIÙ FREQUENTI CASI DI DATA BREACH

IL FINE NON GIUSTIFICA I MEZZI