Le sanzioni del Garante per la Privacy per siti web non conformi al GDPR ed i rischi per le istituzioni scolastiche

Nel caso di siti web che non rispettano le normative previste dal Regolamento Generale sulla Protezione dei Dati (GDPR), il Garante della Privacy è l’autorità che ha la facoltà di infliggere delle sanzioni.

La gestione irresponsabile dei dati personali e delle comunicazioni elettroniche, come l’invio di e-mail non autorizzate, può avere conseguenze legali significative, come viene costantemente ribadito dalle sanzioni e dalle sentenze emesse a tutela delle persone che si rivolgono al Garante.

Ma qual è la procedura legale per richiedere l’intervento del Garante?

Quando si ha a che fare con siti web non conformi, si richiede l’intervento del Garante principalmente in caso di violazioni dei dati personali, conosciute tecnicamente come “data breaches“.

Questo tipo di violazioni di sicurezza, che possono essere accidentali o illecite, comportano la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Sono esempi potenziali di data breach:

• l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati
• il furto o la perdita di dispositivi informatici contenenti dati personali
• la deliberata alterazione di dati personali
• l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, come virus e malware
• la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità
• la divulgazione non autorizzata dei dati personali

Nel caso in cui si ricevano email indesiderate o si venga contattati da enti che possiedono i propri dati senza il consenso diretto, il primo passo è contattare il titolare del trattamento dei dati per segnalare la situazione anomala e indesiderata.

Se il titolare accerta di aver subito manomissioni o violazioni delle proprie banche dati, è obbligato a notificare la violazione al Garante per la protezione dei dati personali possibilmente entro 72 ore dalla segnalazione. 

Inoltre, se la violazione dei dati personali comporta un rischio elevato per i diritti degli interessati, il titolare ha l’obbligo di informare gli individui coinvolti utilizzando i canali più appropriati, a meno che non abbia già implementato misure che riducono significativamente tale impatto.

A partire dal 2021, la notifica di una violazione dei dati personali deve essere inviata al Garante tramite una procedura telematica disponibile nel portale dei servizi online dell’Autorità all’indirizzo https://servizi.gpdp.it/databreach/s/.

Di recente, il Garante per la privacy ha emesso un provvedimento contro una società di commercio elettronico

È stata imposta una multa di 30.000 euro per negligenze nella sicurezza e nel mantenimento dei propri sistemi gestionali e web, che hanno portato alla compromissione dei dati personali di alcuni utenti.

Il Garante era intervenuto a seguito di un reclamo da parte di un cittadino sommerso da messaggi email non richiesti da una società che non aveva nemmeno risposto alla sua richiesta di spiegazioni o di esclusione dalla mailing list. 

Le indagini tecniche del Garante hanno appurato che il sito web della società utilizzava una versione obsoleta del sistema di gestione dei contenuti (CMS), soggetta a numerose vulnerabilità, alcune delle quali di elevata gravità.

Anche il sistema di gestione dei dati raccolti attraverso il sito web per attività di commercio elettronico è stato trovato obsoleto e altamente vulnerabile, mettendo potenzialmente a rischio un significativo volume di dati, da quelli anagrafici a quelli di contatto e di pagamento.

Secondo il Garante, le vulnerabilità riscontrate avrebbero potuto permettere a terzi di sfruttare la piattaforma di e-commerce per attività illecite, come l’invio di email di phishing, generando rischi elevati per i diritti e le libertà delle persone fisiche.

Nonostante ciò, la società aveva ignorato questi rischi, limitandosi a far deindicizzare il sito dai motori di ricerca e a spostare i suoi indirizzi in liste nere

Dato che la società non aveva fornito risposte esaustive alle richieste di chiarimento del Garante, né aveva apportato cambiamenti sostanziali ai suoi sistemi, il Garante ha deciso di imporre alla società l’adozione di misure tecniche considerate adeguate a gestire i dati personali sul sito web, oltre a una sanzione amministrativa pecuniaria di 30.000 euro.

L’azienda in questione è comunque incorsa nelle conseguenze più gravi che le normative avrebbero potuto comportare. In effetti, in base all’articolo 58, paragrafo 2, del Regolamento (UE) 2016/679, il Garante ha la facoltà di imporre sanzioni pecuniarie che possono raggiungere cifre significative: fino a 10 milioni di euro o, nel caso delle imprese, fino al 2% del fatturato totale annuo mondiale, a seconda di quale importo risulti maggiore.

Questo caso illustra le pressioni crescenti su aziende e organizzazioni affinché adottino misure tecnologiche avanzate e pratiche gestionali rigide per proteggere i dati personali di clienti e utenti.

Negli ultimi anni, con la crescente digitalizzazione dei servizi e delle piattaforme, la protezione dei dati è diventata una priorità essenziale per garantire la fiducia e la sicurezza degli utenti

Le imprese sono quindi incoraggiate a investire nella sicurezza informatica e nel continuo aggiornamento dei loro sistemi per prevenire fughe di dati.

Le aziende dovrebbero inoltre assicurarsi di essere conformi alle normative vigenti attraverso regolari verifiche e audit dei sistemi di gestione dei dati personali.

La collaborazione e il dialogo con le autorità di controllo, come il Garante della Privacy, non devono essere percepiti come obblighi burocratici, ma piuttosto come componenti integranti di strategie aziendali responsabili e sostenibili, mirate a proteggere non solo i propri interessi economici, ma anche quelli dei consumatori e dell’intera società digitale.

Infine, l’adozione di linee guida chiare e l’implementazione di processi educativi all’interno delle organizzazioni possono svolgere un ruolo cruciale nella creazione di una cultura della privacy dove dipendenti e collaboratori siano consapevoli dell’importanza della protezione dei dati e agiscano di conseguenza per mitigare rischi potenziali.

E le istituzioni scolastiche?

Anche le istituzioni scolastiche, custodi di un’ingente quantità di dati personali riguardanti alunni, personale e famiglie, devono affrontare con estrema serietà la questione della protezione dei dati in conformità al GDPR.

È fondamentale che le scuole implementino infrastrutture digitali sicure per gestire informazioni sensibili, come registri accademici, dati di contatto e documenti sanitari.

Inoltre, l’adozione di piani di sicurezza informatica aggiornati e la formazione continua del personale scolastico sono essenziali per creare un ambiente protetto per studenti e famiglie.

Le scuole devono collaborare attivamente con esperti di sicurezza dati e con l’autorità garante per garantire che le pratiche di gestione delle informazioni rispettino le normative vigenti.

Questo approccio non solo tutela i dati sensibili, ma costruisce anche un rapporto di fiducia tra le istituzioni educative e la comunità che servono, promuovendo un clima di sicurezza e trasparenza che è fondamentale nell’era digitale odierna.

Per quanto riguarda i siti web delle istituzioni scolastiche, è cruciale che questi portali siano progettati e gestiti con un’attenzione particolare alla protezione dei dati personali.

Essi rappresentano una risorsa fondamentale per la comunicazione tra la scuola e le famiglie, fornendo accesso a informazioni accademiche, eventi scolastici e servizi offerti.

Per garantire la sicurezza dei dati, le scuole dovrebbero utilizzare protocolli di sicurezza avanzati, come la crittografia dei dati e autenticazioni a più fattori

I contenuti dei siti scolastici devono essere monitorati e aggiornati regolarmente per prevenire vulnerabilità e garantire la conformità alle normative sulla privacy.

Inoltre, le istituzioni dovrebbero assicurarsi che le informative sulla privacy siano facilmente accessibili e comprensibili per tutti gli utenti del sito, spiegando chiaramente come i dati personali vengono raccolti, utilizzati e protetti.

Queste misure non solo proteggono le informazioni sensibili, ma rafforzano la fiducia di genitori e studenti, dimostrando l’impegno delle scuole a creare un ambiente digitale sicuro e responsabile.

Articolo di Andrea Capuano.

Resta sempre aggiornato su https://scuolaconsulting.com/news/