L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de Dedalus Italia S.p.A., comprenant le prononcé d'une amende de 32 000 €, pour des manquements en lien avec la sécurité du traitement. Cette affaire débute par plusieurs notifications de violation de données personnelles émises par 11 établissements de santé, signalant qu'une anomalie dans une application de gestion du personnel avait rendu visibles les demandes de présence et d'absence des employés à leurs collègues.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : La société, en tant que sous-traitant pour 11 établissements de santé, a procédé à une mise à jour d'un applicatif de gestion du personnel ("WHR-Time") qui, en raison de la suppression erronée d'une condition de filtrage, a rendu visibles les demandes de présence et d'absence des employés, y compris des données de santé, à leurs collègues. L'autorité a estimé que les mesures techniques et organisationnelles étaient inadéquates, car la phase de test n'a pas permis de détecter cette anomalie avant la mise en production. La découverte de l'incident suite aux signalements des utilisateurs, et non par des contrôles internes, a démontré un manquement à l'obligation de tester, vérifier et évaluer régulièrement l'efficacité des mesures de sécurité pour garantir la confidentialité des traitements.

En conséquence, l’autorité a imposé une amende de 32 000 € à la société.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.