Prescrizioni del Garante n. 612 del 09/10/2025

myCicero S.r.l. – nuova comunicazione agli utenti MooneyGo della violazione dei dati personali

Il provvedimento riguarda myCicero S.r.l., titolare del trattamento nell’ambito dell’app MooneyGo, e interviene dopo una violazione dei dati personali notificata il 4 aprile 2025 e già oggetto di un precedente ordine del Garante del 4 agosto 2025. L’Autorità valuta se la società abbia correttamente dato attuazione all’obbligo di comunicazione agli interessati previsto dall’art. 34 GDPR.

Origine del caso e dati coinvolti

L’attacco informatico ha comportato l’esfiltrazione di numerose categorie di dati personali, tra cui:

• dati del profilo utente (nome, cognome, e-mail, telefono, eventuale codice fiscale e partita IVA);
• dati relativi a sosta, sharing, taxi, biglietti e abbonamenti TPL, biglietti GT;
• credenziali di autenticazione, con password conservate sotto forma di digest MD5 o bcrypt2a.

L’istruttoria ha evidenziato che l’accesso iniziale è avvenuto sfruttando una vulnerabilità su un server di PluService S.r.l., con successivi movimenti laterali e recupero di dati anche da backup non cifrati.

Il precedente provvedimento del 4 agosto 2025

Con il provvedimento n. 473 del 4 agosto 2025, notificato il 12 agosto 2025, il Garante aveva ritenuto che la violazione presentasse un rischio elevato per i diritti e le libertà degli interessati e aveva ordinato alla società di:

• comunicare la violazione agli utenti finali dell’app MooneyGo senza ritardo;
• descrivere la natura e le possibili conseguenze della violazione con linguaggio semplice e chiaro;
• indicare le misure che gli interessati potevano adottare;
• utilizzare più canali di comunicazione;
• fornire riscontro documentato all’Autorità.

La comunicazione del 22 agosto 2025

Per eseguire il provvedimento, myCicero ha inviato agli utenti una e-mail il 22 agosto 2025, con oggetto relativo alla sicurezza dell’account. La società ha poi dichiarato di aver differenziato i messaggi per tipologia di utente e algoritmo di hashing, e di aver informato gli interessati della possibile presenza di dati anagrafici, di contatto e password crittografate.

Il Garante rileva però che la comunicazione:

• è stata effettuata con un solo canale, anziché con più canali;
• ha usato espressioni condizionali, lasciando intendere una violazione solo potenziale;
• non ha indicato tutte le categorie di dati coinvolte, omettendo i dati relativi ai servizi di mobilità.

Valutazioni del Garante sulle difese della società

L’Autorità non accoglie le argomentazioni di myCicero secondo cui gli utenti sarebbero già stati informati tramite avvisi pubblicati sui siti web tra il 9 aprile e il 21 maggio 2025. Tali avvisi non sono ritenuti sufficienti a soddisfare i requisiti di efficacia e trasparenza, soprattutto perché non raggiungevano adeguatamente gli utenti dell’app.

Il Garante chiarisce inoltre che non è ammissibile comunicare una violazione indicando solo una parte dei dati coinvolti: gli interessati devono poter comprendere l’effettiva natura dell’evento e le possibili conseguenze, anche in relazione ai servizi di mobilità. Viene anche osservato che i dati di sosta e di targa sono comunque dati personali identificabili, e che la separazione logica dei database non equivale, di per sé, a una vera pseudonimizzazione.

Il pixel di tracciamento nella e-mail

Nel corso dell’istruttoria è stata accertata la presenza di un pixel di tracciamento 1x1 nella e-mail inviata agli interessati, idoneo a rilevare aperture e informazioni tecniche sul dispositivo del destinatario. Il Garante ritiene che tale strumento non sia strettamente necessario per adempiere all’obbligo di comunicazione della violazione e che, pertanto, possa essere utilizzato solo previa acquisizione di un valido consenso, ai sensi dell’art. 122 del Codice privacy.

Dispositivo finale

Il Garante conclude che la comunicazione del 22 agosto 2025 non ha adempiuto correttamente agli obblighi informativi di cui agli artt. 34 e 58, par. 2, lett. e), GDPR. Perciò ingiunge a myCicero S.r.l. di:

• inviare una nuova comunicazione agli utenti finali di MooneyGo entro 7 giorni dalla ricezione del provvedimento;
• utilizzare più canali di comunicazione;
• descrivere in modo chiaro la natura e le conseguenze della violazione, indicando espressamente che l’esfiltrazione ha riguardato anche i dati dei servizi di mobilità;
• fornire all’Autorità un riscontro documentato entro 10 giorni.

Il provvedimento richiama, infine, la possibilità di sanzione per inosservanza dell’ordine dell’Autorità ai sensi dell’art. 83, par. 6, GDPR, e dispone l’annotazione nel registro interno dell’Autorità.