Garante (włoski organ nadzorczy) w ramach ogólnej kontroli związanej z wprowadzeniem dyrektywy 2019/1937 (“dyrektywa o sygnalistach”), doszukał się szeregu naruszeń ochrony danych w szpitalu w Perugii. Szpital ten korzystał z systemu zgłaszania naruszeń dostarczanego przez zewnętrzną firmę IT (ISWEB), który nie gwarantował właściwych zabezpieczeń i szyfrowania danych osobowych, w tym danych potencjalnych sygnalistów. Co więcej, o prowadzonym procesie przekazywania danych do systemu mającego służyć do obsługi zgłaszania naruszeń nie poinformowano osób, których dane dotyczyły. Garante przyjął, że szpital razem z firmą IT, dopuścili się naruszenia art. 13 i 14 (brak spełnienia obowiązków informacyjnych wobec osób, których dane dotyczą) oraz art. 25 i 32 RODO (brak wdrożenia odpowiednich środków technicznych i organizacyjnych i zapewnienia właściwych zabezpieczeń, proporcjonalnych do ryzyka naruszeń).
Organ jednocześnie wskazał na niezwykłą wagę, jaką należy przypisać poufności w rozwiązaniach dotyczących zgłaszania naruszeń. Systemy, na których opierać się ma funkcjonowanie sygnalistów muszą gwarantować ich anonimowość oraz ochronę przed dostępem do ich danych przez osoby nieuprawnione. Sytuacja, w której Firma ISWEB korzystając z hostingu zewnętrznego, przekazywała dane innemu podmiotowi bez jakichkolwiek instrukcji co do ich przetwarzania, nie mogła być uznana za dającą takie gwarancje, co poskutkowało nałożeniem kar po 40 tys. euro dla obu podmiotów.