Maxi multa per Roma Capitale: il sistema “TuPassi” presenta gravi criticità

Roma Capitale dovrà pagare una sanzione di 500 mila euro per illecito trattamento di dati personali di utenti e dipendenti di “TuPassi“. Parliamo del sistema di accoglienza che consente di prenotare appuntamenti e servizi di sportello in diversi ambiti, tra cui quello sanitario. Il Garante per la Protezione dei dati personali ha deciso di adottare il provvedimento al termine di un’attività istruttoria iniziata in seguito ai controlli effettuati dall’Autorità stessa sulle applicazioni usate dalla Pubblica Amministrazione. L’indagine è stata svolta in collaborazione con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza.

Le accuse rivolte al sistema “TuPassi”

L’attività istruttoria del Garante per la Protezione dei dati personali ha portato alla luce diverse criticità del sistema “TuPassi“. Il servizio nasce con l’intento di eliminare le code agli sportelli anagrafici e di semplificare le prenotazioni nel settore sanitario. Attraverso l’app, il sito web, i totem posizionati nelle PA o presso i professionisti che erogano le prestazioni, gli utenti possono prenotare un appuntamento. La procedura è semplice e pratica ma carica di problematiche.

Si è scoperto, infatti, che i dati personali inseriti durante una prenotazione venivano acquisiti dal sistema e memorizzati sul server di Roma Capitale per un periodo molto lungo. Si tratta di informazioni delicate, quali il tipo di prestazione, la data e l’ora della prenotazione, che si aggiungevano ai dati relativi al personale impiegato nella gestione degli appuntamenti. Il sistema, infatti, registrava e generava report giornalieri con informazioni di dettaglio sull’attività lavorativa. Data, tipo di servizio, tempo di chiamata, nominativo dell’addetto allo sportello, tempo di attesa, tutto registrato senza che gli utenti o i dipendenti avessero ricevuto una completa informativa sui trattamenti resi possibili dall’applicativo. Procedura, questa, richiesta dal regolamento dell’Unione Europea.

Altre criticità riscontrate dal Garante

La sanzione a Roma Capitale in relazione al sistema “TuPassi” ha altre origini. Il Garante, nello specifico, ha ritenuto inadeguate le misure tecniche e organizzative eseguite dall’Ente. Quest’ultimo non aveva mai disciplinato il rapporto che lo legava alla società fornitrice del servizio. E, dal canto suo, la società fornitrice è stata multata di 40 mila euro per i trattamenti eseguiti come autonomo titolare. Il riferimento riguarda in particolare la prenotazione di servizi sanitari e la manutenzione del sistema per conto del clienti nei casi in cui l’attività risulti legata al trattamento dei dati personali di utenti e dipendenti.

Il Garante, poi, ha ritenuto necessario adottare un provvedimento di avvertimento verso la società fornitrice del servizio e nei confronti di tutti i soggetti pubblici e privati utilizzatori di “TuPassi”. Il sistema deve essere utilizzato idoneamente, tenendo conto delle modalità già censurate. Per questo motivo, le società devono necessariamente aggiornare il sistema stesso rendendolo conforme alla disciplina di tutela dei dati.

Valentina Trogu

Seguici su Metropolitan Roma News