Ordinanza ingiunzione o revoca n. 599 del 07/12/2023

Nirvam S.r.l.: trattamento illecito dei dati degli utenti della piattaforma di dating e sanzione di 200.000 euro

Il provvedimento riguarda Nirvam S.r.l., titolare del sito di incontri www.nirvam.it, a seguito di accertamenti ispettivi svolti il 26 e 27 luglio 2022. L'Autorità ha esaminato i trattamenti effettuati sulla piattaforma, aventi ad oggetto dati personali degli utenti registrati, inclusi dati idonei a rivelare la vita e l'orientamento sessuale, considerati categorie particolari di dati ai sensi dell'art. 9 GDPR.

Attività istruttoria e contesto del trattamento

Nirvam gestisce un servizio di dating online con registrazione a pagamento e prova gratuita di tre giorni. Al momento degli accertamenti risultavano milioni di account registrati e oltre un milione di utenti con e-mail validata, con circa nove mila abbonamenti attivi. La società operava senza dipendenti, avvalendosi di collaboratori esterni e di un amministratore di sistema interno che gestiva anche server e software. Il trattamento coinvolgeva dati inseriti in fase di registrazione, foto del profilo e dell'area riservata, messaggi tra utenti e ulteriori informazioni descrittive facoltative.

Violazione dei principi di liceità, correttezza e trasparenza

Il Garante ha ritenuto che il trattamento fosse stato svolto in violazione degli artt. 5, par. 1, lett. a), art. 9 e art. 13 GDPR. In particolare:

• non era prevista, all'atto della registrazione, una procedura idonea ad acquisire il consenso esplicito e informato per il trattamento dei dati relativi alla sfera sessuale;
• l'informativa agli utenti risultava carente, poiché non indicava adeguatamente finalità, basi giuridiche, destinatari, diritti degli interessati e possibilità di proporre reclamo al Garante;
• le informazioni sui tempi di conservazione erano limitate in sostanza ai log, senza coprire i diversi trattamenti connessi al servizio.

L'Autorità ha quindi qualificato il trattamento come illecito anche sotto il profilo dei principi di liceità, correttezza e trasparenza.

Violazione del principio di limitazione della conservazione

È stata accertata la violazione dell'art. 5, par. 1, lett. e) GDPR. Alla data dell'ispezione la società non disponeva di una policy di conservazione strutturata e cancellava gli account in modo episodico, sulla base di criteri variabili. Inoltre, risultavano presenti nei sistemi dati di utenti inattivi da tempo e di soggetti che avevano effettuato solo la prova gratuita senza attivare un abbonamento, con conservazione potenzialmente indefinita.

Il Garante ha anche evidenziato che, in occasione della cancellazione di utenti, alcuni dati potevano permanere in tabelle collegate o nel file system. Sono state considerate illecite anche le modalità di conservazione di numerose foto ancora presenti nel backend. Invece, per i meri ID di foto non associati ad alcun profilo utente, l'Autorità ha accolto la tesi difensiva della società, escludendo in quel caso la sussistenza di dati personali e quindi la violazione contestata su tale specifica fattispecie.

Misure di sicurezza, integrità e riservatezza

L'Autorità ha ravvisato violazioni degli artt. 5, par. 1, lett. f) e 32 GDPR, ritenendo che le misure di sicurezza inizialmente adottate fossero inadeguate rispetto ai rischi del trattamento. Il servizio trattava infatti dati altamente sensibili, anche tramite foto potenzialmente esplicite, e richiedeva presidi tecnici e organizzativi più robusti.

Tra le criticità rilevate vi erano l'assenza di un sistema consolidato di intrusion detection e prevention, l'insufficienza di sistemi strutturati di backup e disaster recovery, la mancanza di una gestione formalizzata degli accessi, la tracciatura non adeguata delle operazioni e la conservazione di password in chiaro nello spazio personale dell'amministratore di sistema. Il Garante ha sottolineato che l'insieme delle misure risultava frammentario, non pianificato e non proporzionato alla delicatezza dei dati trattati.

Adempimenti organizzativi: registro, DPIA e DPO

La società non aveva inizialmente redatto il registro delle attività di trattamento, non aveva nominato un responsabile della protezione dei dati e non aveva effettuato una valutazione d'impatto, in violazione degli artt. 30, 35 e 37 GDPR. L'Autorità ha ritenuto che la piattaforma effettuasse un trattamento su larga scala di categorie particolari di dati, imponendo quindi tali adempimenti.

Nel corso del procedimento Nirvam ha prodotto documentazione attestante l'avvenuta redazione del registro, della DPIA, di un nuovo documento informativo e di un regolamento interno, nonché l'avvio del processo di selezione di un DPO. Tuttavia, il Garante ha ritenuto che la DPIA trasmessa non fosse ancora adeguata, perché le misure di mitigazione dei rischi erano descritte in modo generico e non calibrato sui diversi livelli di rischio.

Valutazione complessiva e accountability

L'Autorità ha ravvisato una violazione del principio di responsabilizzazione ex artt. 5, par. 2 e 24 GDPR. Il quadro complessivo mostrava una gestione non strutturata del trattamento, con carenze sistemiche nell'organizzazione, nella documentazione, nelle procedure di cancellazione, nella gestione delle autorizzazioni, nella formazione e nel controllo dei responsabili esterni.

Secondo il Garante, le misure dichiarate dalla società non risultavano ancora sufficienti a rendere il trattamento conforme alla disciplina privacy, soprattutto in considerazione della natura estremamente sensibile dei dati e dell'ampiezza della base di utenti coinvolti.

Provvedimenti correttivi e termini

Ai sensi dell'art. 58, par. 2, lett. d) GDPR, il Garante ha ingiunto a Nirvam di adottare una serie di misure correttive. Entro 45 giorni dalla notifica la società deve:

• individuare tempi di conservazione differenziati per categorie di dati e finalità;
• cancellare definitivamente i profili oltre i termini stabiliti, eliminando anche i dati presenti in tabelle referenziate o archivi non strutturati;
• verificare e cancellare dati personali residui nel backend e nel file system;
• redigere una DPIA conforme all'art. 35 GDPR.

Entro nove mesi deve inoltre:

• adottare un sistema di identity and access management;
• prevedere misure specifiche di cifratura o pseudonimizzazione per i dati particolari;
• separare i dati sensibili in una partizione del backend ad accesso ristretto;
• introdurre una tracciatura completa degli accessi e dei log con marche temporali e controlli di integrità;
• formalizzare la procedura di cancellazione degli account, anche per chi ha usato solo la prova gratuita;
• adottare sistemi di intrusion detection and prevention.

Sanzione amministrativa e pubblicazione

Il Garante ha applicato una sanzione di euro 200.000, ritenendola effettiva, proporzionata e dissuasiva alla luce di:

• gravità e natura delle violazioni;
• durata della condotta, protrattasi per circa 16 anni;
• elevato numero di interessati coinvolti, pari a circa un milione;
• natura particolarmente sensibile dei dati;
• solo parziale adozione di misure correttive nel corso del procedimento;
• cooperazione della società e assenza di precedenti.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante. Il pagamento deve avvenire entro trenta giorni dalla notifica, con possibilità di definizione agevolata nei limiti di legge. Il provvedimento è impugnabile dinanzi all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR e dalla normativa processuale richiamata.