L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre du Lycée scientifique et linguistique d'État "Principe Umberto di Savoia", comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la gestion des accès aux données personnelles de ses employés, incluant des données de santé, et le respect des obligations d'information et d'instruction du personnel. Cette affaire débute par la plainte d'un employé de l'établissement, signalant qu'un document judiciaire le concernant, et contenant des données relatives à sa santé, avait été enregistré dans le système de protocole informatique ordinaire, le rendant ainsi accessible à l'ensemble du personnel administratif.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement et de traitement des catégories particulières de données (article 5, article 6 et article 9 du RGPD) : L'établissement a enregistré par erreur un document judiciaire contenant des données de santé d'un employé dans son système de protocole informatique ordinaire, le rendant visible par l'ensemble du personnel de secrétariat (11 personnes) et les collaborateurs de la direction (3 personnes). L'autorité a conclu que l'absence de mesures techniques et organisationnelles pour assurer un accès sélectif à de tels documents a entraîné une communication de données personnelles, y compris de santé, à des personnes non autorisées, en l'absence de toute base juridique valable.

* Obligation d'information des personnes concernées (article 13 du RGPD) : L'établissement n'a pas pu démontrer avoir fourni en temps utile à ses employés l'information relative au traitement de leurs données personnelles dans le cadre de la relation de travail. La simple publication sur le site internet de l'école a été jugée insuffisante, l'envoi formel de la note d'information et la demande d'un accusé de réception n'ayant eu lieu que tardivement.

* Obligation d'encadrement des personnes autorisées (article 29 du RGPD) : Le personnel administratif, y compris celui ayant accès au système de protocole informatique, n'avait pas reçu d'instructions formelles sur la manière de traiter les données personnelles avant la survenance de l'incident. L'autorité a relevé que ces instructions n'ont été communiquées que tardivement, manquant ainsi à l'obligation pour le responsable du traitement d'encadrer les personnes agissant sous son autorité.

En conséquence, l’autorité a imposé une amende de 1 000 € au Lycée scientifique et linguistique d'État "Principe Umberto di Savoia".

En outre, l’autorité a ordonné la publication de sa décision sur son site internet.