GDPR: le prime analisi sulle sanzioni
Dopo l’entrata in vigore del GDPR, le attività ispettive da parte del garante della privacy sono iniziate, e di conseguenza anche le relative sanzioni sono state comminate.
In Italia il caso finora più eclatante è stato quello relativo alla piattaforma Rousseau. Il provvedimento sanzionatorio è il n° 83 del 4 aprile 2019, e la sanzione è stata di 50mila euro.
La piattaforma era già sotto la lente di ingrandimento dal 2017, data in cui erano già state sollevate obiezioni sui livelli di sicurezza insufficienti. Il garante aveva imposto delle modifiche per risolvere le criticità in atto. Nonostante gli interventi correttivi attuati abbiano realizzato un sostanziale innalzamento dei livelli di sicurezza, il garante ha evidenziato come il risultato finale sia ad oggi ancora insufficiente. La permanente vulnerabilità ha tra l’altro un impatto ancora più rilevante in virtù della natura dello strumento, dei dati contenuti e della delicatezza degli scopi di utilizzo.
In virtù di questi presupposti, il Garante ha in particolare eccepito il mancato tracciamento in maniera esaustiva degli accessi e delle operazioni compiute sulla piattaforma. Inoltre la condivisione delle credenziali di autenticazione era affidata a più incaricati, senza una profilazione dei livelli di autorizzazione in base all’effettiva necessità.
Altro caso rilevante a livello italiano è quello della sanzione di 1 milione di euro comminata dal nostro Garante a Facebook, per gli illeciti collegati al caso “Cambridge Analytica”. Nel 2016, la società utilizzò i dati di 87 milioni di utenti ottenuti attraverso una app per test psicologici, per cercare di influenzare le presidenziali americane.
Il nostro Garante ha quindi accertato che in Italia alcuni utenti avevano scaricato una app collegata. Sulla base della possibilità di condividere i dati degli “amici”, l’applicazione aveva di conseguenza acquisito i dati di più di 200mila utenti italiani. In questo caso era quindi totalmente mancata sia l’informativa sulla privacy sia il consenso espresso.
Le sanzioni comminate sono quindi decisamente salate, e anche a livello europeo i provvedimenti frutto delle prime indagini sono allineati alla casistica italiana.
