Националният орган за защита на данните Garante санкционира и лечебното заведение, и софтуерната кампания
Италианският надзорен орган за защита на личните данни (Garante per la protezione dei dati personali) публикува решения за налагане на глоби от по 40 000 евро на администратор и на обработващ лични данни. В сайта на надзорния орган пише, че публичните администрации и компаниите трябва да обърнат най-голямо внимание при създаването и управлението на системи за сигнали за нередности, като гарантират максимална поверителност на служителите и другите хора, които съобщават за незаконно поведение. Затова Garante санкционира болница и ИТ компанията, която управлява услугата за съобщаване за предполагаеми корупционни дейности или друго незаконно поведение.
Разследването на Garante започва в рамките на тематични проверки на методите за обработка на данните, получени чрез най-често използваните системи за сигнализиране.
Проверките, извършени в болницата в Перуджа, разкриват няколко нарушения на GDPR. Достъпът до уеб приложението за сигнали за нередности се осъществява чрез системи, които записват и запазват данните за сърфиране на потребителите, така че да позволят идентифицирането на онези, които са го използвали, включително потенциални податели на сигнали.
Здравното заведение не е информирало предварително работниците за обработването на лични данни, извършено за целите на докладване на нарушения, не е извършило оценка на въздействието върху поверителността и дори не е вписало тези операции в регистъра на дейностите по обработване.
По време на проверките са установени допълнителни нарушения, дължащи се на ИТ компанията, която в качеството си на обработващ данни е предоставила на болницата уеб приложението за сигнализиране. Компанията всъщност е използвала външен доставчик за хостинг услугата на системите, хостващи приложението, без да дава конкретни инструкции за обработката на данните на заинтересованите страни и без да уведомява здравното заведение. Същата хостинг услуга използва и за свои собствени цели, например за управление на трудовото правоотношение със служителите или за счетоводно и административно управление, също без да регулира използването на данни.
Garante налага глоби от 40 000 евро както на здравното заведение, така и на ИТ компанията.
На ИТ компанията са дадени 30 дни за адаптиране на отношенията с доставчика на хостинг услуги към законодателството за защита на личните данни.
Дружеството трябва също да съобщи на Garante до тридесет дни за предприетите инициативи за осигуряване на съответствие с GDPR.
Garante публикува решението за глобата на сайта си, без да заличава името на компанията.