Ordinanza ingiunzione o revoca n. 362 del 23/06/2025

Ordine delle Professioni Infermieristiche di Viterbo: esposizione online dei dati degli iscritti e sanzione per carenti misure di sicurezza

Il provvedimento riguarda l’Ordine delle Professioni Infermieristiche di Viterbo, destinatario di una sanzione amministrativa pecuniaria per avere mantenuto esposto online un portale contenente dati degli iscritti, accessibile senza autenticazione. Il procedimento origina da una segnalazione e dagli accertamenti svolti dal Garante a seguito di una notifica di violazione di dati personali presentata dall’Ordine stesso.

Origine della segnalazione e attività istruttoria

L’Autorità è venuta a conoscenza dei fatti tramite una segnalazione del 16 aprile 2024, dalla quale risultava che sul sito web riconducibile all’Ordine era possibile accedere liberamente al pannello di controllo dei dati di tutti gli iscritti e svolgere operazioni quali cambio anagrafica, nuova iscrizione e cancellazione di professionisti.

In esito alla visita del sito da parte dell’Ufficio, è stata confermata l’effettiva possibilità di accedere a un pannello che consentiva operazioni sui dati personali, tra cui consultazione, ricerca e aggiornamento. Successivamente, il 19 aprile 2024, il Responsabile della protezione dei dati dell’Ordine ha notificato una violazione di dati personali ai sensi dell’art. 33 GDPR, poi integrata il 24 giugno 2024.

Contenuto della violazione e dati coinvolti

Secondo la notifica e i successivi chiarimenti dell’Ordine, l’esposizione era collegata a un errore del fornitore del sito, verificatosi nel passaggio dal vecchio al nuovo sito web. I contenuti della URL erano stati originariamente predisposti per consentire agli iscritti un’interazione dinamica con l’Ordine, ma la funzione non era mai andata a regime; il link era stato disattivato nel settembre 2020 e la URL rimasta senza collegamento diretto a un applicativo web fino alla rimozione definitiva del 18 aprile 2024.

L’Ordine ha indicato che, nel periodo compreso tra il 18 luglio 2020 e il 18 aprile 2024, erano stati esposti dati personali di circa 2.500 interessati, in particolare:

• dati anagrafici;
• dati di contatto.

Mancanza di adeguate misure di sicurezza

Nel corso dell’istruttoria è emerso che il pannello di controllo era accessibile senza alcuna procedura di autenticazione informatica. Il Garante ha rilevato inoltre che il sistema, essendo rimasto allo stato sperimentale, non prevedeva ancora un sistema di log degli accessi che sarebbe stato implementato solo in caso di sviluppo effettivo.

L’Autorità ha ritenuto che l’Ordine non avesse adottato misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, come richiesto dall’art. 32, par. 1, GDPR, e coerentemente con il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR.

Valutazione giuridica del Garante

Il Garante ha richiamato il principio secondo cui i dati personali devono essere trattati in modo da garantire adeguata sicurezza, anche contro trattamenti non autorizzati o illeciti. Ha altresì ricordato che, anche quando il trattamento è affidato a un responsabile, resta in capo al titolare l’obbligo di mettere in atto misure adeguate ed efficaci e di dimostrarne la conformità.

Nel caso di specie, la libera accessibilità del portale a chiunque conoscesse lo specifico URL ha determinato una potenziale esposizione dei dati personali degli iscritti a trattamenti illeciti. Il Garante ha quindi accertato la violazione degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR.

Difese dell’Ordine e valutazione del Garante

Dopo la contestazione formale del 21 ottobre 2024, l’Ordine ha rappresentato difficoltà operative legate all’insediamento del nuovo consiglio direttivo e ha sottolineato la propria natura di ente pubblico non economico con risorse finanziarie limitate, senza chiedere di essere audito.

Il Garante ha ritenuto che tali elementi non fossero sufficienti a giustificare l’archiviazione. Ha però valorizzato, ai fini sanzionatori, la buona cooperazione dell’Ordine nel corso dell’istruttoria e l’assenza di precedenti violazioni pertinenti.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR derivava da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, assumendo come base la violazione più grave, soggetta all’art. 83, par. 5, GDPR.

Nella quantificazione ha considerato, tra l’altro:

• l’assenza di prova di effettivi accessi non autorizzati;
• la lunga durata dell’esposizione online;
• il numero elevato di interessati coinvolti;
• la colpa del titolare;
• il fatto che i dati non rientravano in categorie particolari o dati penali;
• il livello di gravità medio della violazione;
• la cooperazione dell’Ordine;
• l’assenza di precedenti violazioni.

La sanzione è stata determinata in euro 10.000, ritenuta effettiva, proporzionata e dissuasiva.

Provvedimenti finali e pubblicazione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’Ordine per violazione degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR, e ha ingiunto il pagamento della sanzione amministrativa pecuniaria di euro 10.000.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento dà infine atto della possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.