TL;DR per il DPO
Il protocollo informatico e' un sistema di gestione documentale come tutti gli altri: se ogni utente vede tutto cio' che transita, la configurazione e' gia' illecita. Per i documenti che riguardano il rapporto di lavoro dei dipendenti servono procedure differenziate e riservate. La sanzione e' bassa, il principio no.
Cosa e' successo
Il procedimento e' partito da due fronti che si sono incontrati: una notifica di data breach presentata dall'ente e un reclamo di un interessato. L'istruttoria ha accertato che il protocollo informatico della Citta' Metropolitana di Sassari era stato configurato in modo tale da rendere accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli.
Non c'e' stata un'intrusione esterna, non c'e' stato un attacco. C'e' stata una configurazione: il sistema mostrava a personale non autorizzato documenti che avrebbe dovuto riservare. E' la categoria di violazione piu' frequente nel settore pubblico e la meno raccontata, perche' non ha nulla di spettacolare.
I principi violati
Il Garante ha rilevato la violazione dei principi di integrita' e riservatezza, di responsabilizzazione e di protezione dei dati fin dalla progettazione e per impostazione predefinita. Quest'ultimo e' il punto centrale: privacy by default significa che la configurazione iniziale di un sistema deve essere la piu' restrittiva, non la piu' comoda. Un protocollo che nasce con visibilita' totale e viene ristretto solo su richiesta e' esattamente il contrario.
Richiamando proprie precedenti decisioni, l'Autorita' ha ribadito che anche nei trattamenti effettuati mediante sistemi di gestione documentale e' necessario adottare misure tecniche e organizzative idonee ad assicurare l'accesso selettivo alla documentazione presente nel protocollo, per evitare la consultabilita' di documenti da parte di personale non autorizzato.
Il passaggio piu' importante: i documenti che riguardano i dipendenti
Il Garante e' esplicito: per la protocollazione di documenti contenenti dati personali dei dipendenti e inerenti allo specifico rapporto di lavoro e' necessario ricorrere a procedure differenziate e riservate. Non basta un permesso generico sulla cartella: serve un percorso separato per quei documenti. E' la parte che nella maggior parte degli enti e delle aziende non esiste.
Perche' la sanzione e' comunque bassa, e perche' non e' una buona notizia
Nel quantificare la sanzione in 12mila euro il Garante ha tenuto conto, fra l'altro, di tre elementi: che l'Autorita' fornisce ai datori di lavoro pubblici e privati indicazioni sul corretto trattamento dei dati nell'ambito del rapporto di lavoro fin dal 2007; che la violazione ha riguardato tutti i dati personali transitati sul protocollo informatico; e che il trattamento ha avuto ad oggetto anche dati delicati rilevanti ai fini disciplinari.
Vale la pena leggerli come sono scritti: sono circostanze aggravanti, non attenuanti. La sanzione resta contenuta per ragioni che riguardano la natura dell'ente, ma il ragionamento che la sostiene e' severo, e in un contesto privato con gli stessi fatti il risultato economico sarebbe diverso. Il richiamo al 2007 e' un modo elegante per dire che su questo tema non esistono piu' scusanti interpretative.
La verifica da fare, in mezz'ora
1) Chiedi al cliente di far accedere al protocollo o al gestionale documentale un utente con il profilo piu' basso e guarda cosa vede: e' il test piu' rapido e il piu' rivelatore. 2) Verifica se esiste un percorso separato per i documenti relativi al rapporto di lavoro, in particolare quelli disciplinari e sanitari. 3) Controlla se i profili di autorizzazione sono stati rivisti dopo l'ultima riorganizzazione: quasi sempre le persone cambiano ruolo e i permessi restano. 4) Verifica che il registro dei trattamenti includa la gestione documentale come trattamento autonomo, con i suoi destinatari e le sue misure: se non c'e', quella configurazione non e' mai stata valutata da nessuno.
Il punto per il DPO esterno
Questa e' una sanzione che si previene con un'ora di lavoro e un elenco di profili. Il motivo per cui accade lo stesso e' che nessuno la considera materia da privacy: il protocollo e' un tema di segreteria, i permessi sono un tema informatico, e il DPO viene interpellato sulle informative. Il modo per intercettarla e' inserire la revisione dei profili di accesso ai sistemi documentali fra le verifiche periodiche del cliente, con una scadenza propria, come per il registro dei trattamenti. E' esattamente il tipo di controllo che sfugge quando le scadenze vivono nella testa del consulente invece che in un calendario.
Fonte ufficiale:Garante per la protezione dei dati personali - Newsletter n. 550 del 29 luglio 2026; provvedimento dell'11 giugno 2026 [doc-web 10266034]Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
