Un commento pratico alla sanzione del Garante nei confronti di Roma Capitale e del suo fornitore del servizio informatico “TuPassi”. Qualche spunto di riflessione per fare chiarezza sulla necessità di nomina a responsabile esterno per i fornitori di servizi informatici.

In breve:

Garante per la protezione dei dati personali dispone una sanzione sia nei confronti di Roma Capitale, rispetto al servizio “TuPassi”, sia nei confronti della società informatica fornitrice del servizio, che operava senza:

• Nomina a responsabile esterno al trattamento
• Nomina ad amministratore di sistema
• Utilizzando in maniera assolutamente inappropriata la formula del “Titolare Autonomo”

Tutte le aziende che offrono questi servizi ( assistenza informatica, installazione/manutenzione gestionali) dovrebbero verificare di essere in regola rispetto agli adempimenti GDPR in ottica di accountability ed in particolare rispetto alla gestione delle nomine ricevute come responsabili esterni.

 

La vicenda.

 

Nella newsletter del 25 gennaio il Garante per la protezione dei dati personali riporta la sanzione di 500 mila euro disposta nei confronti di Roma Capitale per trattamento illecito di dati personali dei dipendenti e degli utenti, effettuato attraverso il sistema di prenotazione degli appuntamenti “TuPassi”.

Tale sistema consentiva di acquisire e memorizzare sui server di Roma Capitale numerosi dati degli utenti relativi alle prenotazioni (tipo di prestazione, canale utilizzato, data e ora della prenotazione) e del personale impiegato nella gestione degli appuntamenti. Tutte le operazioni possibili grazie a questo applicativo erano effettuate senza che né gli utenti né i dipendenti avessero ricevuto un’informativa completa sui trattamenti effettuati secondo quanto previsto dall’art. 13 GDPR.

 

Perché è importante per chi opera in campo informatico.

 

L’aspetto più interessante di questa sanzione, per noi e per tutti i professionisti e le società che forniscono servizi informatici, riguarda il fornitore del servizio “TuPassi” al quale Roma Capitale si affidava.

L’Autorità ha comminato, con un provvedimento separato, una sanzione di 40 mila euro alla società fornitrice del sistema per i trattamenti effettuati in qualità di autonomo titolare con riguardo, in particolare, alla prenotazione di servizi sanitari da parte degli utenti e alla manutenzione del sistema per conto dei clienti.

 

Il rapporto tra Roma Capitale e la società fornitrice del sistema di prenotazione non era stato disciplinato da nessun accordo.  Che cosa significa? Non c’era un contratto e, supponiamo, nemmeno una nomina? In effetti continuando la lettura sembra proprio essere questo il caso.

Durante l’attività istruttoria a carico di tale Società fornitrice è emerso, infatti, che

 

“nessuno dei clienti ha nominato la Società quale responsabile del trattamento per l’attività di assistenza e manutenzione” né quale “amministratore di sistema dei server dei clienti stessi, ai quali accede direttamente, da linea di comando, per l’attività di assistenza/manutenzione”.

 

Quando il fornitore deve essere nominato responsabile esterno?

 

Il fatto che un operatore informatico sia effettivamente titolare autonomo di un set di informazioni che raccoglie direttamente dall’utente, non esclude il fatto che per un set di dati ulteriore e/o per un diverso trattamento esso possa essere ANCHE responsabile esterno.

E questa seconda attività deve essere sempre gestita e, in nessun modo, può essere considerata di rango inferiore alle altre e dunque ignorata.

Nel caso di specie, se è vero che rispetto ai dati personali dei singoli utenti registrati sulla piattaforma “Tupassi” la Società trattava tali dati in qualità di titolare, nell’ambito dell’offerta del servizio di prenotazione effettuato allo sportello dagli utenti dei singoli enti bisogna evidenziare che, al contrario, i trattamenti di dati effettuati tramite “TuPassi” rientrano nella titolarità dei singoli enti, rendendo quindi obbligatoria la nomina a responsabile esterno ex art. 28 GDPR.

In aggiunta a questo occorre sottolineare che anche l’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti, deve essere regolamentata andando a nominare la stessa quale responsabile del trattamento.

 

Come evidenzia il Garante nella sua ordinanza:

 

“Con riguardo all’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti – attività che, quando non riguarda esclusivamente la componente hardware dei sistemi, ma include la possibilità che il personale autorizzato della Società fornitrice del servizio acceda al gestionale dei clienti, comporta inevitabilmente anche il trattamento di dati personali degli utenti –, la mancata adozione di atti idonei ad individuare la stessa quale responsabile del trattamento (art. 28 del Regolamento) risulta non conforme alla disciplina di protezione dati. Diversamente, tale regolamentazione non è dovuta nei casi nei quali la società svolga l’assistenza tecnica esclusivamente mediante un mero supporto (telefonico o via e-mail), senza accedere direttamente ai sistemi e ai dati personali in essi contenuti”.

 

È bene, quindi, ricordare che è permesso non nominare responsabile esterno il proprio fornitore di servizio qualora:

• l’attività di assistenza informatica e manutenzione sia effettuata solamente sulla componente hardware dei sistemi;
• l’assistenza informatica sia fornita esclusivamente tramite supporto telefonico o via e-mail, senza accesso a dati personali contenuti nei sistemi.

 

In tutte le altre occasioni, anche quando ad esempio un software è installato sui server del cliente e c’è la concreta possibilità che il fornitore possa accedere ai dati personali contenuti nel sistema, esso deve essere nominato responsabile esterno! Non farlo significa correre il rischio di imbattersi in sanzioni, anche rilevanti.

 

In conclusione.

 

Questo provvedimento ci fornisce una indicazione chiara e inequivocabile rispetto a tutte le aziende che si occupano di installare gestionali: anche se solo occasionalmente il loro personale autorizzato ha accesso al gestionale del cliente per fini di manutenzione, qualora tale accesso includa la possibilità di accedere ai dati presenti nel gestionale stesso, le aziende fornitrici devono essere assolutamente nominate responsabile esterno.

 

Se avete dubbi sulla necessità di nominare un vostro fornitore responsabile esterno non esitate a contattarci. 

Alchimie Digitali per tutti i servizi che prevedono la gestione dei dati per conto dei propri clienti si nomina sempre responsabile esterno!