PREMESSA:

Il Servizio digitale on line All Transparency, ricorda che l’identità dei whistleblower è protetta da uno specifico regime di garanzia e riservatezza previsto dalla normativa di settore per la particolare delicatezza delle informazioni trattate e per gli elevati rischi di ritorsioni e discriminazioni nel contesto lavorativo.
In tale quadro, il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, assicurandone l’integrità e la sicurezza; ed è esattamente questo quanto ribadito dal Garante privacy che, a seguito di attività ispettive sugli applicativi usati per le segnalazioni di illeciti (whistleblowing), ha sanzionato:

Nel caso della Società aereoportuale, il Garante ha accertato il mancato utilizzo di tecniche di crittografia per la trasmissione e la conservazione dei dati e la violazione del principio della privacy by design.




ISTRUZIONI:

Lo scrivente Servizio digitale on line All Transparency al fine di prevenire eventuali sanzioni da parte del Garante per possibili illiceità e violazioni del trattamento, chiede all' Ente di effettuare un controllo preventivo nella sezione: Amministrazione trasparente.

In particolare, lo scrivente Servizio digitale on line All Transparency , sollecita un approfondito controllo per quanto riguarda i seguenti punti e ricorda che:

- l’accesso all’applicativo per l’acquisizione e la gestione delle segnalazioni di illeciti deve avvenire con l'uso di un protocollo di rete sicuro - quale il protocollo https - , mentre non è considerato sicuro il protocollo http trattandosi di un protocollo di rete che non garantisce l'integrità e la riservatezza de dati scambiati tra il browser dell'utente e il server che ospita l'applicativo

- l’applicativo stesso deve prevedere la cifratura dei dati identificativi del segnalante, delle informazioni relative alla segnalazione e della eventuale documentazione allegata, conservati nel relativo database

- l'ente non deve tracciare, mediante i log generati dai firewall, l’accesso all’applicativo da parte dei dipendenti connessi alla rete aziendale in quanto ciò rende inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti, considerato anche l’esiguo numero di connessioni all’applicativo in questione.

- tenuto conto della delicatezza delle informazioni trattate, dei rischi e della vulnerabilità degli interessati, l'ente ha l'obbligo di effettuare una valutazione di impatto.
Anche quando utilizza prodotti o servizi realizzati da terzi, l'ente deve verificare la conformità ai principi di protezione dati impartendo le necessarie istruzioni al fornitore del servizio (ad es. disattivando le funzioni in contrasto con le norme di settore)