L’Agenzia danese per la protezione dei dati personali ha espresso serie critiche e vieta l’uso di Google Workspace nel comune di Elsinore.

L’Agenzia danese per la protezione dei dati ha preso una decisione nel settembre 2021 in cui al comune di Elsinore è stato ordinato di effettuare una valutazione del rischio del trattamento dei dati personali da parte del comune nella scuola primaria utilizzando Google Chromebook e Workspace.

Sulla base della documentazione e della valutazione del rischio per gli interessati che il Comune di Elsinore ha predisposto, il Garante danese ha ora riscontrato che il trattamento non soddisfa i requisiti del GDPR su più punti.

“Il Comune ha svolto un ottimo lavoro per mappare il modo in cui i dati personali vengono utilizzati nella scuola primaria, ma fa anche luce sui potenziali problemi di protezione dei dati con i modi delle grandi aziende tecnologiche di risolvere il compito”, afferma la sicurezza informatica specialista e avvocato presso la DPA danese, il sig. Allan Frank.

La DPA danese ritiene che il comune in qualità di responsabile del trattamento non abbia valutato alcuni rischi specifici in relazione alla struttura del responsabile del trattamento dei dati per quanto riguarda le attività di trattamento che il responsabile del trattamento è autorizzato a svolgere in quanto autorità pubblica. Inoltre, l’accordo per il trattamento dei dati (DPA) stabilisce che le informazioni possono essere trasferite a paesi terzi in situazioni di supporto tecnico senza il livello di sicurezza e protezione richiesto.

Alla luce della decisione di settembre 2021, il DPA danese ha ora preso una nuova decisione. Contiene, tra l’altro:

• Una sospensione del trattamento dei dati da parte del Comune di Elsinore laddove le informazioni siano trasferite a paesi terzi senza il livello di protezione necessario.
• Divieto generale di trattamento dei dati personali con Google Workspace fino a quando non sia stata effettuata un’adeguata documentazione e valutazione di impatto e fino a quando le operazioni di trattamento non siano state allineate al GDPR.
• Grave critica al trattamento dei dati personali da parte del comune.

L’Agenzia danese per la protezione dei dati osserva che molte delle conclusioni specifiche di questa decisione si applicheranno probabilmente ad altri comuni danesi che utilizzano lo stesso elaboratore di dati su cui ruota questo caso sul comune di Elsinore. Il DPA danese si aspetta che questi comuni adottino misure pertinenti sulla base di questa decisione, anche se l’autorità sta attualmente finalizzando una serie di casi riguardanti altri comuni.

Per ulteriori informazioni: decisione nella lingua nazionale