{"id":5474,"date":"2023-10-18T11:34:31","date_gmt":"2023-10-18T09:34:31","guid":{"rendered":"https:\/\/www.jaera.it\/?p=5474"},"modified":"2023-10-18T11:34:31","modified_gmt":"2023-10-18T09:34:31","slug":"e-se-mi-sanzionano-a-causa-della-notifica","status":"publish","type":"post","link":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/","title":{"rendered":"E se mi sanzionano a causa della notifica?"},"content":{"rendered":"

E se mi sanzionano a causa della notifica?<\/p>\n

\u00c8 una domanda che chi fa consulenza in ambito data protection <\/em>si \u00e8 sentito rivolgere almeno una volta dal titolare del trattamento in caso di data breach<\/strong>.<\/p>\n

Come noto, il GDPR<\/strong> prevede l’obbligo del Titolare del trattamento a notificare all’autorit\u00e0 di controllo la violazione dei dati personali<\/strong> senza ingiustificato ritardo e, ove possibile, entro 72 ore<\/strong> dal momento in cui ne \u00e8 venuto a conoscenza. Non \u00e8 escluso (anzi, semmai l’opposto…) che l’Autorit\u00e0 Garante<\/strong>, a seguito della notifica, provveda all’instaurazione di un procedimento<\/strong> per l\u2019adozione dei provvedimenti correttivi<\/strong> o, finanche, sanzionatori<\/strong>.<\/p>\n

Perch\u00e9, allora, il titolare del trattamento dovrebbe proporre la notifica di una violazione dei dati personali all’autorit\u00e0 di controllo, autodenunciandosi e incorrendo in una sanzione, invece di provare a gestire il problema direttamente in casa e non sollevare questioni che possano rivelarsi un boomerang?<\/p>\n

Questa \u00e8 una delle tentazioni in cui, inevitabilmente, incorre il titolare del trattamento, e che il DPO (o il consulente privacy) deve affrontare e contrastare.<\/p>\n

Oltre a essere uno specifico obbligo di legge (fattispecie gi\u00e0 di per s\u00e9 sufficiente per adempiere al compito), le conseguenze di una mancata notifica possono essere ben pi\u00f9 gravi<\/strong> e rilevanti rispetto agli esiti di un’istruttoria del Garante instaurata per ammissione dell’accaduto.<\/p>\n

\u00c8 quello che pu\u00f2 desumersi leggendo da ultimo il provvedimento del Garante<\/a> datato 18 luglio 2023 nei confronti della Azienda Socio Sanitaria Territoriale Ovest Milanese.<\/p>\n

Sebbene infatti il provvedimento in questione abbia meno notoriet\u00e0 rispetto ad altre vicende ben pi\u00f9 famose (come, ad esempio, lo storico data breach accaduto a INAIL<\/a> nel 2022), ci fornisce uno spunto di riflessione sulle conseguenze economiche in caso di rispetto del principio di accountability<\/strong>.<\/p>\n

Il caso<\/h3>\n

L’Azienda Socio Sanitaria Territoriale (A.S.S.T.) ha provveduto a notificare, ai sensi dell’art. 33 GDPR, ben tre data breaches<\/strong> accaduti a dati personali dei pazienti.
\nNello specifico, le violazioni (tutte quante afferenti dati sanitari) riguardavano:<\/p>\n

    \n
  1. la trasmissione di una comunicazione contenente una convocazione per la valutazione dell\u2019invalidit\u00e0 civile<\/strong>\u00a0a persona diversa dagli effettivi destinatari<\/strong>;<\/li>\n
  2. l\u2019inserimento nel campo “CC”<\/strong> dell\u2019indirizzo di 198 destinatari<\/strong> di una mail avente ad oggetto raccomandazioni relative al COVID in pazienti affetti da sclerosi multipla<\/strong>;<\/li>\n
  3. la consegna ad un paziente di documentazione sanitaria contenente anche l\u2019esito di un esame effettuato da un soggetto terzo<\/strong>.<\/li>\n<\/ol>\n

    Le contromisure del titolare del trattamento<\/h3>\n

    Per ogni violazione, il titolare del trattamento esponeva prima le valutazioni sull’accaduto e, successivamente, produceva le sue memorie difensive, dichiarando in estrema sintesi che:<\/p>\n

    1. a seguito della segnalazione da parte dell’errato destinatario, si \u00e8 subito provveduto a contattare telefonicamente i pazienti interessati<\/strong>; esisteva una procedura interna<\/strong>\u00a0per l’invio delle comunicazioni; l’evento \u00e8 stato generato da errore dell’operatore con intento non doloso<\/strong>; si \u00e8 provveduto a integrare il vademecum e si \u00e8 dato evidenza dell’evento in una riunione in cui hanno partecipato gli operatori medici e amministrativi, al fine di scongiurare il ripetersi dell’errore<\/strong>;<\/p>\n

    2. la violazione ha riguardato indirizzi mail forniti dai pazienti ai medici che li hanno in cura, in cui, in alcuni, \u00e8 riconoscibile nome e cognome; sono stati immediatamente contattati tutti i destinatari<\/strong>, scusandosi per l’accaduto; \u00e8 stata tempestivamente inviata una successiva comunicazione e-mail chiedendo di non proseguire la divulgazione dei dati<\/strong> con attivit\u00e0 del tipo “inoltra” o “rispondi a tutti” e di cancellare il messaggio<\/strong>; \u00e8 stato convocato il gruppo di lavoro privacy per istituire una procedura per evitare il ripetersi dell’errore<\/strong>, nonch\u00e9 una formazione agli operator<\/strong>i specifica sui rischi privacy; si \u00e8 trattato di un errore materiale di digitazione informatica senza evidenza di negligenza, imperizia o colpa grave<\/strong> da parte di chi lo ha commesso;<\/p>\n

    3. i referti dei pazienti vengono stampati esclusivamente su istanza dell’interessato e soltanto a seguito delle richiesta allo sportello; \u00a0l\u2019errore potrebbe essere dovuto ad una stampa ridondante, probabilmente rimasta in memoria<\/strong>, di un solo foglio prodotto in pi\u00f9, in una fase precedente; nel foglio errato vi erano alcuni parametri clinici “fuori range”<\/strong> (che hanno comportato ulteriori accertamenti da parte della paziente segnalante, giacch\u00e9 neanche altri professionisti che avevano in cura la stessa si erano accorti dell’errore); il controinteressato \u00e8 stato tempestivamente<\/strong> contattato<\/strong>; sono state effettuate ulteriori attivit\u00e0 di formazione e sensibilizzazione nei confronti degli operator<\/strong>i che consegnano i referti agli utenti e riesame dei rischi specifici<\/strong>;<\/p>\n

    L’istruttoria<\/h3>\n

    Nel provvedimento in esame il Garante ha ribadito alcuni aspetti da ritenersi ormai giurisprudenza granitica.<\/p>\n

    In primo luogo, ha ribadito che l’indirizzo e-mail deve ritenersi dato personale a tutti gli effetti:<\/p>\n

    Alla luce della definizione di dato personale sopra richiamata, gli indirizzi e-mail sono riconducibili alla nozione di dato personale.<\/p><\/blockquote>\n

    Successivamente, ha sottolineato che l’utilizzo del campo “copia conoscenza” pu\u00f2 integrare la comunicazione indebita di dati personali a terzi non legittimati:<\/p>\n

    L\u2019invio di una comunicazione mediante un unico messaggio di posta elettronica indirizzato a un numero plurimo di destinatari, i cui indirizzi sono stati inseriti in chiaro nel campo copia conoscenza (c.c.), ha, di fatto, senza giustificato motivo e in assenza di presupposto giuridico, rivelato reciprocamente, ai destinatari delle comunicazioni, lo stato di salute degli altri pazienti.<\/p><\/blockquote>\n

    Il provvedimento<\/h3>\n

    Il Garante ha rilevato l’illiceit\u00e0 dei trattamenti effettuati dall’Azienda. Ha per\u00f2 valutato positivamente la condotta del titolare<\/strong>, tenendo soprattutto conto:<\/p>\n

      \n
    • dell’elevato grado di cooperazione del titolare del trattamento<\/strong>,<\/li>\n
    • dell’assunzione di ulteriori misure volte a ridurre la replicabilit\u00e0 degli eventi;<\/strong><\/li>\n
    • dell’assenza di alcun elemento intenzionale<\/strong>.<\/li>\n<\/ul>\n

      Pertanto ha determinato una sanzione pecuniaria nella complessiva somma di \u20ac 12.000,00.<\/strong><\/p>\n

      Un deterrente a notificare?<\/h3>\n

      Ad avviso di chi scrive, il predetto importo pu\u00f2 ritenersi decisamente contenuto, considerando complessivamente i tre episodi.<\/p>\n

      Difatti, per il numero di interessati coinvolti<\/strong>, per la tipologia di dati oggetto di violazione<\/strong>, nonch\u00e9 per alcune conseguenze<\/strong> scaturitene (ad esempio, gli ulteriori e inutili accertamenti della paziente del terzo caso e il manifestarsi di uno stato d’ansia protratto alcuni mesi) una sanzione di tale specie deve ritenersi decisamente di modesto valore<\/strong>.<\/p>\n

      In conclusione: e se mi sanzionano a causa della notifica?<\/strong><\/p>\n

      Il rischio c’\u00e8<\/strong>, e spesso \u00e8 sufficiente per generare pensieri che inducono a evitare di comunicare l’accaduto al Garante. Una condotta del genere, per\u00f2, non potrebbe far altro che inasprire considerevolmente la sanzione <\/strong>irrogata qualora l’Autorit\u00e0 ne venisse a conoscenza attraverso altre vie: tra tutte, la proposizione del reclamo<\/strong> (o la semplice segnalazione<\/strong>) da parte di uno degli interessati coinvolti, circostanza per nulla rara.<\/p>\n

      Se si sbaglia, \u00e8 pi\u00f9 conveniente -in tutti i sensi- ammettere l’errore piuttosto che cercare di nasconderlo.<\/p>\n

      Il principio di accountability<\/strong>, in fondo, insegna proprio questo.<\/p>\n

       <\/p>\n","protected":false},"excerpt":{"rendered":"

      E se mi sanzionano a causa della notifica? \u00c8 una domanda che chi fa consulenza in ambito data protection si \u00e8 sentito rivolgere almeno una volta dal titolare del trattamento in caso di data breach. Come noto, il GDPR prevede l’obbligo del Titolare del trattamento a notificare all’autorit\u00e0 di controllo la violazione dei dati personali […]<\/p>\n","protected":false},"author":11,"featured_media":5571,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[508,46],"tags":[53,77,32,631,630,632],"yoast_head":"\nE se mi sanzionano a causa della notifica? - Jaera<\/title>\n<meta name=\"description\" content=\"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"E se mi sanzionano a causa della notifica? - Jaera\" \/>\n<meta property=\"og:description\" content=\"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/\" \/>\n<meta property=\"og:site_name\" content=\"Jaera\" \/>\n<meta property=\"article:published_time\" content=\"2023-10-18T09:34:31+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/10\/pexels-andrea-piacquadio-3768723-scaled.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"1707\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Michele Monti\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Michele Monti\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"6 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/\",\"name\":\"E se mi sanzionano a causa della notifica? - Jaera\",\"isPartOf\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\"},\"datePublished\":\"2023-10-18T09:34:31+00:00\",\"dateModified\":\"2023-10-18T09:34:31+00:00\",\"author\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/a11470bfe9b6ff017fb95cc66a603b3d\"},\"description\":\"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/www.jaera.it\/blog\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"E se mi sanzionano a causa della notifica?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\",\"url\":\"https:\/\/www.jaera.it\/blog\/\",\"name\":\"Jaera\",\"description\":\"Consulenza professionale e servizi per aziende\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.jaera.it\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/a11470bfe9b6ff017fb95cc66a603b3d\",\"name\":\"Michele Monti\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/09\/michelemonti-750x1000-1.jpg\",\"contentUrl\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/09\/michelemonti-750x1000-1.jpg\",\"caption\":\"Michele Monti\"},\"url\":\"https:\/\/www.jaera.it\/blog\/author\/michele-monti\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"E se mi sanzionano a causa della notifica? - Jaera","description":"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/","og_locale":"it_IT","og_type":"article","og_title":"E se mi sanzionano a causa della notifica? - Jaera","og_description":"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.","og_url":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/","og_site_name":"Jaera","article_published_time":"2023-10-18T09:34:31+00:00","og_image":[{"width":2560,"height":1707,"url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/10\/pexels-andrea-piacquadio-3768723-scaled.jpg","type":"image\/jpeg"}],"author":"Michele Monti","twitter_card":"summary_large_image","twitter_misc":{"Scritto da":"Michele Monti","Tempo di lettura stimato":"6 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/","url":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/","name":"E se mi sanzionano a causa della notifica? - Jaera","isPartOf":{"@id":"https:\/\/www.jaera.it\/blog\/#website"},"datePublished":"2023-10-18T09:34:31+00:00","dateModified":"2023-10-18T09:34:31+00:00","author":{"@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/a11470bfe9b6ff017fb95cc66a603b3d"},"description":"E se mi sanzionano a causa della notifica? Riflessione sulla notifica di un data breach da parte del titolare del trattamento.","breadcrumb":{"@id":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.jaera.it\/blog\/e-se-mi-sanzionano-a-causa-della-notifica\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.jaera.it\/blog\/"},{"@type":"ListItem","position":2,"name":"E se mi sanzionano a causa della notifica?"}]},{"@type":"WebSite","@id":"https:\/\/www.jaera.it\/blog\/#website","url":"https:\/\/www.jaera.it\/blog\/","name":"Jaera","description":"Consulenza professionale e servizi per aziende","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.jaera.it\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/a11470bfe9b6ff017fb95cc66a603b3d","name":"Michele Monti","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/","url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/09\/michelemonti-750x1000-1.jpg","contentUrl":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2023\/09\/michelemonti-750x1000-1.jpg","caption":"Michele Monti"},"url":"https:\/\/www.jaera.it\/blog\/author\/michele-monti\/"}]}},"_links":{"self":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/5474"}],"collection":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/users\/11"}],"replies":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/comments?post=5474"}],"version-history":[{"count":22,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/5474\/revisions"}],"predecessor-version":[{"id":5625,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/5474\/revisions\/5625"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media\/5571"}],"wp:attachment":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media?parent=5474"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/categories?post=5474"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/tags?post=5474"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}