Ordinanza ingiunzione o revoca n. 119 del 26/02/2026

Dedalus Italia S.p.A. - misure di sicurezza inadeguate nell’applicativo WHR-Time

Il Garante ha esaminato una violazione dei dati personali verificatasi nell’ambito del sistema WHR-Time, utilizzato da 11 aziende sanitarie e ospedaliere della Regione Emilia-Romagna per la gestione delle richieste del personale. Il procedimento è stato avviato a seguito di notifiche di data breach presentate dai titolari del trattamento e ha riguardato la condotta di Dedalus Italia S.p.A., responsabile del trattamento ex art. 28 GDPR.

Origine della violazione e dinamica dell’incidente

Dagli atti è emerso che un aggiornamento software installato nella prima mattinata del giorno dell’incidente ha introdotto un’anomalia nel front end dell’applicativo. L’errore ha eliminato una condizione filtrante di ricerca, rendendo consultabili da ciascun dipendente le richieste attive di presenze e assenze di altri colleghi della stessa azienda. La violazione ha interessato per alcune ore la funzionalità relativa a richieste di assenza, timbratura e richiesta giornaliera.

La società ha riferito di aver preso in carico le prime segnalazioni alle ore 7:32, di aver individuato il problema e di aver installato una fix alle ore 9:33, con risoluzione definitiva alle ore 9:54. Ha anche precisato di non poter ricostruire il numero esatto di utenti che abbiano effettivamente visualizzato i dati, per assenza di un sistema di tracciamento puntuale.

Dati personali coinvolti e rilevanza dei dati sulla salute

Il Garante ha evidenziato che le richieste di assenza potevano contenere causali riferibili a permessi e benefici previsti dalla legge n. 104/1992, non solo per il dipendente ma anche per familiari, inclusi minori o soggetti vulnerabili. Tali informazioni, secondo l’Autorità, consentono di ricavare dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, richiedendo quindi un livello di protezione particolarmente elevato.

L’Autorità ha inoltre ribadito che, nel contesto lavorativo, dati personali dei dipendenti non possono essere messi a disposizione di soggetti non legittimati, anche se appartenenti alla stessa organizzazione, poiché ciò integra una comunicazione a terzi non autorizzati.

Contestazioni alla società e difesa svolta

Con atto di avvio del procedimento, l’Ufficio ha contestato a Dedalus Italia S.p.A. la violazione dell’art. 32 GDPR per avere adottato misure di sicurezza inadeguate. La società ha sostenuto di aver agito nel rispetto delle norme e delle best practice, affermando che l’evento era stato determinato da un’anomalia imprevedibile emersa in fase di aggiornamento e non rilevata nei test eseguiti in ambiente sicuro.

Ha inoltre rivendicato la tempestività della gestione dell’incidente, il supporto fornito ai titolari nelle notifiche di data breach, lo svolgimento di audit interni da parte del RPD e l’adozione di ulteriori misure di miglioramento, tra cui formazione aggiuntiva e valutazione di adesione a un codice di condotta di settore.

Valutazioni del Garante sull’adeguatezza delle misure

L’Autorità ha richiamato il quadro normativo degli artt. 5, 24, 28 e 32 GDPR, sottolineando che anche il responsabile del trattamento è tenuto ad adottare misure tecniche e organizzative adeguate, commisurate allo stato dell’arte, ai costi di attuazione e al rischio per i diritti e le libertà degli interessati.

Nel caso concreto, il Garante ha ritenuto che la società dovesse predisporre controlli costanti sull’adeguatezza delle misure, inclusa una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure di sicurezza anche dopo il rilascio degli aggiornamenti. Poiché l’anomalia è stata rilevata solo a seguito di segnalazioni del personale delle aziende e non grazie a controlli autonomi del fornitore, le misure sono state giudicate inadeguate rispetto ai rischi del trattamento.

Sanzione e criteri di quantificazione

Poiché la violazione ha avuto origine da un’unica condotta collegata al medesimo trattamento, il Garante ha applicato l’art. 83, par. 3, GDPR. La violazione dell’art. 32 rientra tra quelle punite dall’art. 83, par. 4, con sanzione fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore. Considerato il fatturato annuo della società pari a euro 159.517.111, il limite massimo astratto è stato individuato in 10 milioni di euro.

Nella determinazione dell’importo sono stati considerati:

• la divulgazione di dati sulle presenze e assenze a colleghi non autorizzati;
• il coinvolgimento di dati particolari ex art. 9 GDPR;
• la durata limitata dell’evento;
• il carattere colposo e isolato della violazione;
• l’adozione di misure correttive immediate;
• la cooperazione ordinaria nel procedimento;
• i precedenti sanzionatori già contestati alla società.

All’esito, la sanzione è stata fissata in euro 32.000,00.

Provvedimenti finali e pubblicazione

Il Garante ha dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da Dedalus Italia S.p.A. in violazione dell’art. 32 GDPR e ha ordinato il pagamento della sanzione pecuniaria. È stata anche disposta la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale dell’Autorità, oltre alla pubblicazione del provvedimento e all’annotazione nel registro interno previsto dal Regolamento del Garante n. 1/2019.

È stata infine richiamata la facoltà di definizione agevolata ex art. 166, comma 8, Codice privacy, con pagamento entro 30 giorni di un importo pari alla metà della sanzione comminata, nonché la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.