{"check":null,"uid":"a92a9b18649b6b15","title":"Provvedimento dell'11 settembre 2025 [10174501]","title_generated":false,"country":"Италия","organ":"Гарант защиты персональных данных Италии","kind":"law","kind_name":"Законодательство","lang":"it","date":"2025-09-11","summary":"Регулятор установил, что компания предоставила доступ к документам с данными примерно 20 сотрудников — сумм удержаний из зарплаты по займам и взысканиям, кредиторам и банкам — через общую папку на сервере вследствие ошибки HR/Finance при загрузке файлов в папку «SEPA». Доступ был ограничен после обнаружения; документы удалили ночью 12 марта 2023 года, а формы обезличили. Компания объяснила инцидент человеческим фактором и сообщила о мерах (privacy gap analysis, обучение). Нарушение признано незаконным по ст. 5(1)(f) и 25 GDPR, но квалифицировано как незначительное без предшествующих нарушений; регулятор ограничился предупреждением по ст. 58(2)(b) GDPR.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":16382,"versions":2,"url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174501","first_seen":"2026-09-09","last_checked":"2026-09-17 02:32","relevance":"hit","score":22,"query":"","source_key":"garante_it","verdict":{"relevance":"hit","score":22,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Garante per la protezione dei dati personali","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"codice in materia di protezione dei dati personali","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":489,"ctx":"tembre 2025  registro dei provvedimenti  n. 490 dell'11 settembre 2025  il garante per la protezione dei dati personali  nella riunione odierna, alla quale hanno preso parte il prof. pasquale stanzione, presid","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":929,"ctx":"consiglio, del 27 aprile 2016 (di seguito, “regolamento”);  visto il codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (ue) 20","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1311,"ctx":"mento dal sig. xx con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di silgan dispensing systems vicenza s.r.l.;  esaminata la documentazione in att","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1864,"ctx":"mento, il sig. xx lamentava una violazione della disciplina in materia di trattamento dei dati personali da parte di silgan dispensing systems vicenza s.r.l. (di seguito “la società”).  in parti","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":3620,"ctx":"ssibile anche ai lavoratori di reparto, erano stati rinvenuti alcuni documenti contenenti dati personali (…)”;  - “l’hr manager informava immediatamente della segnalazione ricevuta il plant mana","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":5450,"ctx":"uto contezza della problematica, la cartella era stata rimossa e i documenti contenenti i dati personali dei dipendenti sono stati resi non più accessibili.  inoltre, comunicava di aver provvedu","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Garante per la protezione dei dati personali","weak":false,"pos":522,"ctx":"nto dell'11 settembre 2025  Registro dei provvedimenti  n. 490 dell'11 settembre 2025  IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI  NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presid","zone":"орган","weight":3},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":849,"ctx":"za, componenti e il cons. Angelo Fanizza, segretario generale;  VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);","zone":"акт","weight":0},{"topic":"Персональные данные","term":"codice in materia di protezione dei dati personali","weak":false,"pos":956,"ctx":"amento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);  VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 20","zone":"акт","weight":0}],"dropped":[]},"last_changed":"2026-09-12","meta":{"docweb":"10174501"},"source_url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174501","text":"Provvedimento dell'11 settembre 2025 [10174501]\n\ng-docweb-display Portlet\n\nHome\nProvvedimenti\nAmmonimento\nProvvedimento dell'11 settembre 2025 [10174501]\n\nProvvedimento dell'11 settembre 2025 [10174501]\n\nAscolta\n\nMenù azioni\n\nStampa\nStampa\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\nAscolta\n\nStampa\nStampa\n\nCondividi\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\n[doc. web n. 10174501]\n\nProvvedimento dell'11 settembre 2025\n\nRegistro dei provvedimenti\n\nn. 490 dell'11 settembre 2025\n\nIL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI\n\nNELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Angelo Fanizza, segretario generale;\n\nVISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);\n\nVISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);\n\nVISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dal sig. XX con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Silgan Dispensing Systems Vicenza s.r.l.;\n\nESAMINATA la documentazione in atti;\n\nVISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;\n\nRELATORE il prof. Pasquale Stanzione;\n\nPREMESSO\n\n1. L’istruttoria avviata a seguito della presentazione del reclamo.\n\nCon reclamo presentato in data 16/06/2023, regolarizzato il 03/10/2023, ai sensi dell’art. 77 del Regolamento, il sig. XX lamentava una violazione della disciplina in materia di trattamento dei dati personali da parte di Silgan Dispensing Systems Vicenza s.r.l. (di seguito “la Società”).\n\nIn particolare, veniva segnalato che “In data 06.03.2023, presso la sede della ditta, durante lo svolgimento delle ordinarie mansioni di lavoro, il reclamante ha eseguito l’accesso al sistema informatico intranet dell’azienda, utilizzando le proprie credenziali personali da un computer aziendale utilizzato in modo promiscuo anche da altri dipendenti (pc del reparto). Nel corso della navigazione online è entrato in pagine in cui era possibile visionare dati strettamente personali di molteplici dipendenti, tra cui erano visibili le distinte dei bonifici relative a trattenute, eseguite dalla società, per prestiti e pignoramenti a carico dei dipendenti della società. In particolare, risultavano visionabili le distinte dei bonifici corrisposti dalla società a titolo di cessioni del V della retribuzione relativi a molti dipendenti. Erano pubblicate pagine da cui risultava per ciascun dipendente (…) la somma trattenuta dalla retribuzione, con indicazione del creditore e della relativa banca beneficiaria della trattenuta”.\n\nAlla luce di quanto documentato nel reclamo, l’Ufficio formulava una richiesta di informazioni, ai sensi dell’art. 157 del Codice, al fine di conoscere le specifiche circostanze che avevano reso possibile la messa a disposizione delle informazioni, nonché il numero di interessati coinvolti (nota del 13/02/2024).\n\nLa Società forniva riscontro, con la nota del 13/03/2024, rappresentando che:\n\n- “L’11 marzo 2023 (…) il delegato sindacale di Filtem CGIL informava l’HR Manager di aver appreso che in una cartella del server aziendale accessibile anche ai lavoratori di reparto, erano stati rinvenuti alcuni documenti contenenti dati personali (…)”;\n\n- “l’HR manager informava immediatamente della segnalazione ricevuta il Plant manager (…), e il collega IT (…). Immediatamente la società si attivava per identificare la cartella contenente i suddetti documenti, rimuovere i dati e non renderli più accessibili ai lavoratori. Alle ore 05:01 del giorno 12 marzo 2023 i file contenenti i suddetti documenti venivano rimossi dal server”,\n\n- “Una volta identificata la problematica e rimossi i documenti, la Società ha effettuato le debite verifiche interne, all’esito delle quali è emerso che l’accesso ai documenti da parte del [reclamante] è stato reso possibile a causa di un mero errore umano”;\n\n- “la cartella nella quale il reclamante ha rinvenuto i documenti, infatti, era una cartella operativa di condivisione e scambio di dati e informazioni tecniche, funzionali all’operatività della società. Per mero errore detta cartella è stata utilizzata dal personale dei dipartimenti HR e Finance della società per esaminare i documenti al fine di permettere alla funzione Finance di comunicare al fornitore di servizi di payroll i dati richiesti per riconciliare alcune informazioni necessarie per l’assolvimento del suo incarico (...)”;\n\n- “In particolare, in data 9 marzo 2023, avendo ricevuto solleciti di pagamento da parte di alcuni enti e dovendo dare al suddetto fornitore di servizi payroll dettagli non in proprio possesso, la funzione Finance della società chiedeva supporto al personale della funzione HR che, per ruolo e mansioni, era in possesso delle informazioni richieste. In tale circostanza (…), i documenti sono stati caricati per errore nella suddetta cartella condivisa”.\n\nIn merito alle azioni intraprese, la Società comunicava che, appena aveva avuto contezza della problematica, la cartella era stata rimossa e i documenti contenenti i dati personali dei dipendenti sono stati resi non più accessibili.\n\nInoltre, comunicava di aver provveduto a modificare i modelli utilizzati per la “Distinta bonifici per trattenute prestiti/pignoramenti” e “Distinta riepilogo trattenute prestiti/pignoramenti”, eliminando dai medesimi qualsiasi riferimento al nominativo dei relativi dipendenti interessati”.\n\n2. L’avvio del procedimento.\n\nAlla luce delle informazioni raccolte, l’Ufficio provvedeva a notificare alla parte, ai sensi dell’art. 166, comma 5, del Codice, l’atto di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, per la violazione degli artt. 5, par. 1, lett. f), e 24 del Regolamento (nota del 04/07/2024).\n\nLa Società inviava i propri scritti difensivi ai sensi dell’art. 18 della legge n. 689/1981, con cui sostanzialmente ribadiva le circostanze di fatto che avevano reso possibile l’indebito accesso ai dati in questione.\n\nIn particolare, la Società osservava che:\n\n- “Nel periodo in cui si è verificato l’accesso da parte del [reclamante] era in corso un’interlocuzione continua tra la Funzione HR e la Funzione Finance per la riconciliazione di alcune informazioni che la Funzione Finance aveva necessità di fornire al nuovo fornitore di servizi di payroll. Nel corso di tale interlocuzione (…) i documenti sono stati erroneamente caricati nella sottocartella denominata “SEPA” creata nella cartella di condivisione residente sui server della Società, (…)”;\n\n- “i documenti sono rimasti disponibili nella suddetta cartella per un periodo di tempo molto limitato e sono stati rimossi immediatamente, appena la Società ne ha avuto contezza. Inoltre, si evidenzia che, all’esito delle verifiche effettuate, è risultato che detti documenti non contenevano alcun dato particolare o dati relativi a condanne penali e reati dei relativi interessati”;\n\n- la Società ritiene rilevante e chiede che questa Autorità tenga debito conto anche dell’impegno profuso nell’avviare attività di privacy gap analysis e programmare ulteriori eventi di formazione con l’intento di garantire il continuo e costante miglioramento dei processi aziendali comportanti trattamento di dati personali e innalzare ulteriormente i relativi livelli di conformità alla normativa sul trattamento dei dati personali applicabile”.\n\n3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.\n\nAll’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), risulta accertato che la Società, in qualità di titolare del trattamento, ha effettuato ha effettuato un trattamento di dati personali, riferito ai propri dipendenti, che risulta non conforme alla disciplina in materia di protezione dei dati personali.\n\nNel merito, è emerso che la Società ha reso disponibile, tramite una cartella condivisa residente sul server aziendale, i dati personali relativi a circa 20 interessati (propri dipendenti), consistenti in documenti recanti le distinte dei bonifici corrisposti dalla Società a titolo di cessioni del V della retribuzione, delle trattenute per prestiti e/o pignoramenti, con l’indicazione del dipendente interessato e della banca beneficiaria.\n\nI dati in questione sono stati resi disponibili a terzi non autorizzati, per un periodo di circa cinque giorni, ovvero dal 6 marzo (giorno in cui il reclamante ha visualizzato i documenti sul pc utilizzato in azienda) fino all’11 marzo, quando la Società, informata dell’accaduto, ha rimosso la cartella dalla posizione condivisa sul server.\n\nIn base a quanto dichiarato nel corso dell’istruttoria, le verifiche eseguite immediatamente dopo l’accaduto hanno evidenziato come la divulgazione accidentale delle informazioni sia stata causata da un mero errore umano a cui si è prontamente posto rimedio.\n\nTutto quanto sopra rappresentato deve essere valutato alla luce delle disposizioni del Regolamento, in particolare di quanto stabilito all’art. 5, par. 1, lett. f), del Regolamento, in base al quale i dati personali debbano essere trattati “in maniera tale da garantire un’adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (principio di integrità e riservatezza)”.\n\nIl titolare del trattamento, in base al principio di accountability, è competente per il rispetto dei principi fissati al comma 1 dell’art. 5 e deve essere in grado di comprovarlo.\n\nConformemente a quanto sopra, l’art. 24 del Regolamento stabilisce che “il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento”. “Tali misure dovrebbero tener conto, tra l’altro, del rischio per i diritti e le libertà delle persone fisiche” (considerando n. 74 del Regolamento).\n\nAncora, “la tutela dei diritti e delle libertà delle persone fisiche relativamente al trattamento dei dati personali richiede l'adozione di misure tecniche e organizzative adeguate per garantire il rispetto delle disposizioni del presente regolamento. Al fine di poter dimostrare la conformità con il presente regolamento, il titolare del trattamento dovrebbe adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita. Tali misure potrebbero consistere, tra l’altro, nel ridurre al minimo il trattamento dei dati personali […]” (considerando n. 78 del Regolamento).\n\nLe misure che la Società ha implementato, a seguito dell’incidente occorso, evidenziano come, fino a quel momento, i dati dei dipendenti non fossero trattati in modo adeguato a garantire la loro sicurezza.\n\nAd esempio, la circostanza che i nuovi modelli utilizzati per l’invio alle Banche delle distinte di pagamento non contengano più (ora) i dati identificativi dei dipendenti interessati (nome e cognome), dimostra che tali informazioni fossero non necessarie, rispetto alle finalità da perseguire.\n\nCiò in contrasto con l’art. 25 del Regolamento che prevede che il titolare, “sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso […] mette in atto misure tecniche e organizzative adeguate, […], volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati”.\n\n4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.\n\nPer i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.\n\nRisulta, pertanto, accertato che la condotta posta in essere dal titolare, con riferimento alla mancata adozione di idonee misure tecniche e organizzative idonee a garantire la riservatezza dei dati dei dipendenti, risulta illecito in relazione agli artt. 5, par. 1, lett. f) e 25 del Regolamento.\n\nPreso tuttavia atto di tutti gli elementi acquisiti nel corso dell’istruttoria, in particolare, tenuto conto del carattere colposo della violazione, dell’assenza di precedenti violazioni pertinenti e della condotta complessivamente tenuta nel corso del procedimento, viste le circostanze in concreto della fattispecie, in particolare delle misure implementate dalla Società per evitare il ripetersi di analoghe situazioni, si ritiene che il caso possa essere qualificato come “violazione minore” ai sensi dell’art. 83, par. 2 e cons. 148 del Regolamento.\n\nTenuto inoltre conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.\n\nSi rappresenta, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.\n\nTUTTO CIÒ PREMESSO, IL GARANTE\n\nai sensi dell’art. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Silgan Dispensing Systems Vicenza s.r.l., in persona del legale rappresentante pro tempore, con sede legale in Romano D’Ezzelino (VI), Via Monte Tomba n. 28, P.I. 00276000247, per la violazione degli artt. 5, par. 1, lett. f) e 25 del Regolamento;\n\nai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce Silgan Dispensing Systems Vicenza s.r.l., quale titolare del trattamento, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali;\n\nDISPONE\n\nai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019 la pubblicazione del presente provvedimento sul sito internet del Garante;\n\nai sensi dell’art. 17 del regolamento del Garante n. 1/2019, ricorrendone i presupposti, l’annotazione nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del medesimo Regolamento.\n\nAi sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.\n\nRoma, 11 settembre 2025\n\nIL PRESIDENTE\n\nStanzione\n\nIL RELATORE\n\nStanzione\n\nIL SEGRETARIO GENERALE\n\nFanizza\n\nScheda\n\nDoc-Web\n\n10174501\n\nData\n\n11/09/25\n\nArgomenti\n\nLavoro e previdenza\n\nMinimizzazione\n\nTipologie\n\nAmmonimento","changes":[{"id":695,"doc_id":12730,"v_from":13097,"v_to":14014,"detected_at":"2026-09-12 02:36:15","added":0,"removed":22,"summary":"--- \n+++ \n-\n-Vedi anche (10)\n-\n-Newsletter del 04/08/23 - Lotteria degli scontrini “istantanea”: via libera del Garante privacy - Reddito di inclusione: sì del Garante privacy al sistema informativo - Whistleblowing: fissate le garanzie per il dipendente che si rivolge all’Anac - Sanità: il Garante sanziona una Asl per diffusione di dati sanitari di un paziente\n-\n-Parere sullo schema di decreto del Ministero del lavoro e delle politiche social attuativo dell’art. 7, comma 3, del d.l. 4 maggio 2023, n. 48 e ss.mm. (recante “Misure urgenti per l'inclusione sociale e l'accesso al mondo del lavoro”) convertito con modificazioni dalla l. 3 luglio 2023, n. 85, concernente i controlli in materia di lavoro e legislazione sociale - 17 ottobre 2024 [10073780]\n-\n-Parere al Ministero del Lavoro e delle Politiche sociali sullo schema di decreto concernente il Portale nazionale del sommerso (PNS) - 29 aprile 2025 [10129880]\n-\n-Provvedimento del 17 luglio 2024 [10053224]\n-\n-Newsletter del 22 ottobre 2024 - Data breach, Garante Privacy sanziona Postel per 900mila euro - Garante: stop al software che accede all’email del dipendente - Assegno di inclusione, Garante Privacy: ok alle verifiche Inps - Progetto S.IN.D.A.C.A.: via libera del Garante Privacy\n-\n-Parere sullo schema di decreto del Ministro del lavoro e delle politiche sociali, di concerto con il Ministro per l’innovazione tecnologica e la digitalizzazione e il Ministro per la pubblica amministrazione, ai sensi dell’art. 8, comma 2, del d.lgs. 151/2015, in materia di Banca dati del collocamento mirato - 11 novembre 2021 [9731800]\n-\n-Parere sullo schema di decreto del Ministro del lavoro e delle politiche sociali concernente l’attuazione della misura dell’Assegno di inclusione (ADI) - 21 dicembre 2023 [10000877]\n-\n-Parere al Ministero del lavoro e delle politiche sociali su due schemi di decreti concernenti il Sistema informativo per l’inclusione sociale e lavorativa (SIISL) e il Supporto per la formazione e il lavoro (SFL), ai sensi del d.l. 48/2023 - 3 agosto 2023 [9918937]\n-\n-Newsletter del 3/12/21 - Tabulati: Tim nega l'accesso a un cliente e scatta la sanzione del Garante privacy - Customer care: Garante privacy, no al controllo a distanza dei lavoratori - Sanità: sì del Garante privacy al Registro nazionale degli impianti protesici mammari - Carta Giovani Nazionale: Garante, sì alla valutazione d'impatto sulla protezione dati\n-\n-Parere sullo schema di decreto del Ministro del lavoro e delle politiche sociali di attuazione degli artt. 25 e 26 del d.l. 7 maggio 2024, n. 60 - 13 novembre 2024 [10079136]"}],"passport":{"data":{"act":{"jurisdiction":"Италия","title_official":"Provvedimento dell'11 settembre 2025 [10174501]","title_short":"","level":"административное решение надзорного органа (ammonimento)","date_adopted":"2025-09-11","date_in_force":"с даты принятия, если не указано иное","date_version":"на дату документа — 2025-09-11","phased":"","status":"действует","sunset":"","regulator":"Гарант защиты персональных данных Италии","related":"Регламент (UE) 2016/679; d.lgs. n. 196/2003 (Codice), изм. д.лгс. n. 101/2018; Regolamento del Garante n. 1/2019"},"goal":{"problem":"разглашение персональных данных сотрудников вследствие размещения документов в общей сетевой папке без надлежащих мер контроля доступа.","goal":"обеспечить соблюдение принципов безопасности, целостности и конфиденциальности при обработке ПДн; обязать оператора принять корректирующие меры для предотвращения повторения инцидента.","targets":"","scope":"оператор обработки ПДн (работодатель); затронуты данные работников.","exclusions":""},"subjects_note":{"protected":"работники как субъекты ПДн; уязвимость ввиду раскрытия сведений о вычетах из зарплаты по займам и взысканиям."},"subjects":[{"role":"оператор","who":"Silgan Dispensing Systems Vicenza s.r.l.","criteria":"работодатель, осуществляющий обработку ПДн работников; пороговые критерии GDPR к субъекту здесь не применяются.","count":"нет данных"}],"norms":[{"address":"art. 5 par. 1 lett. f) GDPR","addressee":"оператор","essence":"Оператор обязан обеспечивать целостность и конфиденциальность персональных данных посредством адекватных технических и организационных мер.","type":"обязанность","mechanism":"операционные издержки","cost_channel":"содержательные, капитальные","cost_kind":"регулярные","trigger":"постоянно","sanction":"установлена иными актами (art. 83 GDPR; ammonimento применён решением).","refs":"да, к GDPR и Codice","form":"смешанная","in_force":"применяется непрерывно","ru_analog":"ФЗ-152 ст. 18.1 ч. 1 п. 4, ст. 19 — сопоставимо; отличия в деталях требований DPIA/механизмах надзора."},{"address":"art. 24 GDPR","addressee":"оператор","essence":"Оператор должен внедрять надлежащие технические и организационные меры и быть способным продемонстрировать соответствие обработки требованиям GDPR.","type":"обязанность","mechanism":"операционные издержки","cost_channel":"административные, содержательные","cost_kind":"регулярные","trigger":"постоянно","sanction":"предусмотрена GDPR; конкретная мера — предупреждение регулятора.","refs":"да, к GDPR","form":"смешанная","in_force":"применяется непрерывно","ru_analog":"ФЗ-152 ст. 18.1, ст. 19 — сопоставимо; отличается процедурный контур документирования соответствия."},{"address":"art. 25 GDPR","addressee":"оператор","essence":"Оператор реализует защиту данных «по умолчанию» и «при проектировании», включая минимизацию данных и необходимые гарантии до начала и во время обработки.","type":"обязанность","mechanism":"барьер входа, операционные издержки","cost_channel":"содержательные, капитальные","cost_kind":"разовые и регулярные","trigger":"до начала деятельности, постоянно","sanction":"предусмотрена GDPR; регулятор вправе требовать устранения нарушений.","refs":"да, к GDPR","form":"цифровая/смешанная","in_force":"применяется непрерывно","ru_analog":"ФЗ-152 ст. 18.1, ст. 19 — частично сопоставимо; требования privacy by design/deault выражены слабее."},{"address":"art. 58 par. 2 lett. b) GDPR","addressee":"оператор","essence":"Надзорный орган выносит официальное предупреждение за выявленные нарушения вместо или наряду с иными мерами.","type":"ответственность","mechanism":"распределение риска","cost_channel":"административный","cost_kind":"по событию","trigger":"по факту выявления нарушения","sanction":"само предупреждение является санкцией; возможны последующие штрафы.","refs":"да, к GDPR","form":"цифровая/бумажная","in_force":"с момента уведомления субъекта","ru_analog":"КоАП РФ ст. 13.11 — штрафной характер превалирует; практика предупреждений ограничена, требуется проверка."},{"address":"art. 154-bis comma 3 Codice; art. 37 Regolamento del Garante n. 1/2019","addressee":"оператор","essence":"Решение публикуется на сайте Гаранта, что обеспечивает публичность принятых мер.","type":"обязанность","mechanism":"информирование","cost_channel":"административный","cost_kind":"по событию","trigger":"после принятия решения","sanction":"публикация осуществляется органом; косвенные репутационные последствия.","refs":"да, к внутренним регламентам Гаранта","form":"цифровая","in_force":"со дня публикации","ru_analog":"Роскомнадзор размещает информацию об операторе-нарушителе выборочно; системной обязательной публикации решений нет, требует проверки."},{"address":"art. 17 Regolamento del Garante n. 1/2019","addressee":"оператор","essence":"Нарушение и принятые меры вносятся во внутренний реестр Гаранта.","type":"обязанность","mechanism":"распределённые риски","cost_channel":"административный","cost_kind":"по событию","trigger":"по факту установления нарушения","sanction":"ведение реестра осуществляет орган; влияет на оценку рецидива.","refs":"да, к внутреннему регламенту Гаранта","form":"внутренняя система учёта\nВступление в сила: немедленно","in_force":"","ru_analog":"Реестры проверок и актов существуют у госорганов; единый публично-правовой реестр подобных административных предостережений отсутствует, требует проверки."}]},"made_by":"GigaChat-3-Ultra","made_at":"2026-09-16 08:31:22","edited_at":null,"edited_by":null}}