Il Garante per la protezione dei dati personali ha recentemente adottato un importante provvedimento nei confronti della Città Metropolitana di Sassari, irrogando una sanzione di 12.000 euro per una non corretta configurazione del protocollo informatico.
Che cosa è accaduto?
Una comunicazione riservata, contenente informazioni relative ad una possibile responsabilità disciplinare di un dirigente, è stata protocollata con un livello di visibilità che ha consentito la consultazione del documento da parte di numerosi dipendenti.
L’istruttoria ha accertato che:
- il sistema di protocollo era configurato con profili di autorizzazione non coerenti con le effettive mansioni degli utenti;
- alcuni dipendenti disponevano di privilegi di accesso superiori a quelli necessari;
- documenti contenenti dati particolari e informazioni estremamente delicate risultavano accessibili a personale non autorizzato.
L’ente ha successivamente corretto la configurazione del sistema, ma ciò non è stato sufficiente ad evitare la sanzione.
Cosa ha ribadito il Garante?
Il provvedimento richiama alcuni principi fondamentali del GDPR che ogni amministrazione deve rispettare:
Privacy by Design e Privacy by Default (art. 25 GDPR)
I sistemi informatici devono essere progettati affinché, per impostazione predefinita, ciascun utente possa accedere esclusivamente ai documenti necessari allo svolgimento delle proprie funzioni.
Principio di minimizzazione
L’accesso ai dati deve essere limitato al minimo indispensabile.
Integrità e riservatezza
Non è sufficiente impedire accessi esterni: occorre prevenire anche la consultazione indebita da parte del personale interno.
Accountability
Il titolare deve essere in grado di dimostrare di aver adottato misure tecniche ed organizzative adeguate.
Un principio spesso sottovalutato
Molti enti ritengono che, essendo i dipendenti appartenenti alla stessa amministrazione, possano liberamente consultare i documenti protocollati.
Non è così.
Per il GDPR, il collega che non è autorizzato a conoscere un determinato documento è un terzo rispetto a quel trattamento.
La semplice possibilità di visualizzare un documento costituisce già una violazione della disciplina sulla protezione dei dati personali.
Le verifiche che ogni ente dovrebbe effettuare
Questo provvedimento rappresenta un’occasione per verificare immediatamente:
- i livelli di visibilità del protocollo informatico;
- i profili di autorizzazione attribuiti agli utenti;
- la coerenza tra autorizzazioni e mansioni effettivamente svolte;
- la gestione dei documenti riservati;
- la presenza dei log di accesso e dei relativi backup;
- le procedure di revisione periodica dei privilegi informatici.
Il messaggio del Garante
La sicurezza del protocollo informatico non è un tema esclusivamente tecnico, ma costituisce una precisa responsabilità organizzativa del titolare del trattamento.
Una configurazione errata dei profili di accesso può determinare la comunicazione illecita di dati personali, anche particolari o relativi a procedimenti disciplinari, con conseguenti responsabilità per l’ente.
La domanda che ogni amministrazione dovrebbe porsi è semplice:
Se oggi un dipendente apre il protocollo informatico, può vedere esclusivamente i documenti necessari per svolgere il proprio lavoro?
Se la risposta non è chiaramente affermativa, è opportuno intervenire tempestivamente.
Il provvedimento del Garante costituisce un importante richiamo per tutte le pubbliche amministrazioni: la corretta gestione delle autorizzazioni nei sistemi documentali rappresenta una misura essenziale di conformità al GDPR e un presidio imprescindibile per la tutela della riservatezza dei dati personali.
Lascia un commento