Il Garante della privacy sanziona Regione Lombardia

Il Garante per la Protezione dei Dati Personali ha sanzionato la Regione Lombardia per l'illecito trattamento dei dati dei suoi dipendenti. L'Autorità ha contestato la conservazione dei metadati di posta elettronica per 90 giorni e dei log di navigazione internet per un anno. Tali attività, qualificabili come controllo a distanza dell'attività lavorativa, sono state avviate senza il preventivo accordo sindacale previsto dall'art. 4 dello Statuto dei Lavoratori.

Sono stati inoltre violati i principi di minimizzazione dei dati, limitazione della conservazione e protezione dei dati fin dalla progettazione (privacy by design). La Regione non aveva neppure svolto la necessaria valutazione d'impatto sulla protezione dei dati. Ulteriori criticità sono emerse nella gestione dei dati relativi ai ticket di assistenza tecnica, conservati per un tempo eccessivo e con un'inadeguata regolamentazione del rapporto con i fornitori.

Per tali violazioni, il Garante ha inflitto una sanzione di 50.000 euro. Ha inoltre prescritto misure correttive, tra cui la riduzione a 90 giorni dei tempi di conservazione dei log di navigazione e l'adozione di misure tecniche come la cifratura dei dati (Provvedimento)