Recentemente il Garante Privacy ha sanzionato la Regione Lazio per 75.000 euro in quanto non è stato nominato responsabile del trattamento dati la Società Cooperativa Capodarco, a cui l’Ente aveva affidato le prenotazioni degli esercizi sanitari, attraverso il call center regionale (ReCUP).

La criticità si è appunto dimostrata nel momento in cui i dati dei pazienti sono risultati trattati in maniera illecita per oltre un decennio, ovvero dal 1999 al 2019, data in cui la Regione Lazio ha ufficialmente designato la Cooperativa come responsabile del trattamento dei dati personali.

Il Garante, grazie a questo provvedimento ha voluto ribadire che le società prestanti servizio per conto del titolare e che quindi trattano i dati personali degli utenti, devono obbligatoriamente essere designate responsabili del trattamento. Il rapporto tra titolare e responsabile deve essere regolato da un contratto o atto giuridico, che conterrà non solo il vincolo tra i due ma anche i dettagli, le regole e i limiti che andranno utilizzati per trattare i dati personali. Il responsabile, perciò, potrà trattare i dati degli interessati “soltanto su istruzione documentata del titolare”.

Una questione sollevata recentemente dall’Edpb, ha chiarito che l’assenza di una definizione del rapporto tra titolare e responsabile può sollevare problemi di mancanza di una base giuridica su cui si basa il trattamento: come, ad esempio, la comunicazione di dati tra titolare e responsabile.

Una volta approfondita la questione e trovato l’illecito, il Garante ha multato la Regione Lazio per 75.000 euro applicando la sanzione accessoria della pubblicazione del provvedimento sul sito dell’Autorità.

Per quanto riguarda il titolare della Cooperativa il Garante ha ritenuto sufficiente ammonirlo poiché questo aveva più volte fatto presente alla regione la necessità di nominarla responsabile del trattamento e avendo anche messo in atto misure conformi alla disciplina privacy, istituendo anche il registro dei trattamenti.