Prescrizioni del Garante n. 163 del 21/03/2024

Porsche Financial Services Italia S.p.A. – ordine di comunicazione agli interessati per data breach con esfiltrazione

Il Garante per la protezione dei dati personali interviene a seguito di una violazione dei dati personali notificata da Porsche Financial Services Italia S.p.A., relativa a un attacco ransomware subito dal responsabile del trattamento Sefin S.p.A. La violazione ha comportato la cifratura e l’esfiltrazione di dati presenti su alcuni server, con coinvolgimento di dati anagrafici, di contatto, finanziari/creditizi e documenti di identità.

Origine del procedimento e fatti accertati

L’Autorità apprende l’evento tramite notifica ex art. 33 GDPR del 24 gennaio 2024, integrata il 2 febbraio 2024. L’attacco, avvenuto il 21 gennaio 2024, ha interessato 5 dei 195 server gestiti dal responsabile del trattamento. Secondo quanto riportato nel provvedimento, siti internet dedicati alla raccolta e diffusione di rivendicazioni di attacchi ransomware hanno dato pubblicità all’esfiltrazione e alla possibile pubblicazione online dei dati sottratti.

Dati personali coinvolti

La violazione riguarda diverse categorie di dati personali:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o e-mail, numero di telefono fisso o mobile;
• dati finanziari o creditizi: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identificazione/riconoscimento: carta di identità, passaporto, patente, CNS.

Il Garante sottolinea che la combinazione di dati di diversa natura, in particolare finanziari e documentali, aumenta sensibilmente il rischio per gli interessati.

Valutazione del rischio ai sensi degli artt. 33 e 34 GDPR

Il titolare aveva ritenuto che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche e, quindi, non aveva proceduto alla comunicazione agli interessati ex art. 34 GDPR. L’Autorità, al contrario, ritiene che la violazione presenti un rischio elevato, tenendo conto:

• della natura dell’evento, consistente in un attacco ransomware con esfiltrazione;
• della natura e sensibilità dei dati coinvolti;
• della gravità e persistenza delle possibili conseguenze;
• del rischio di furto di identità, divulgazione di informazioni patrimoniali e danno reputazionale;
• del fatto che il titolare opera nel settore del credito, ambito che richiede un elevato livello di responsabilizzazione e trasparenza.

Il provvedimento richiama i considerando 75, 76 e 86 GDPR, nonché le Linee guida 9/2022 sulla notifica delle violazioni dei dati personali e le Linee guida 01/2021 su esempi riguardanti la notifica di una violazione.

Mancata dimostrazione delle esenzioni ex art. 34, par. 3, GDPR

Il Garante osserva che la società non ha dimostrato la sussistenza di alcuna condizione esimente prevista dall’art. 34, par. 3, GDPR, né ha provato che la comunicazione individuale richiedesse uno sforzo sproporzionato. Viene richiamato il principio di responsabilizzazione, secondo cui il titolare deve essere in grado di dimostrare all’Autorità le ragioni della mancata comunicazione diretta agli interessati.

Ordine del Garante: comunicazione agli interessati

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ingiunge alla società di comunicare la violazione ai soggetti coinvolti e raggiungibili, senza ingiustificato ritardo e comunque entro quindici giorni dalla ricezione del provvedimento. La comunicazione deve contenere almeno le informazioni previste dall’art. 34, par. 2, GDPR, e in particolare:

• la natura della violazione;
• le possibili conseguenze;
• i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto;
• le misure adottate per porre rimedio alla violazione e attenuarne gli effetti negativi.

Per gli interessati i cui dati siano idonei a determinare un rischio "alto" in caso di diffusione illecita, la comunicazione deve essere individuale. Per i dati anagrafici e di contatto, la comunicazione individuale resta la regola, salvo comprovata eccessiva onerosità; in tal caso, il provvedimento consente la sostituzione con un avviso pubblicato sul sito web per almeno due settimane e una campagna social mirata.

Obbligo di documentazione e riscontro all’Autorità

La società deve documentare le scelte effettuate e le attività conseguenti, in conformità al principio di responsabilizzazione. Inoltre, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice privacy, deve trasmettere al Garante, entro trenta giorni, un riscontro adeguatamente documentato sulle iniziative intraprese per dare esecuzione all’ordine.

Profili sanzionatori e rimedi

Il provvedimento richiama la previsione dell’art. 83, par. 6, GDPR, secondo cui l’inosservanza di un ordine impartito dall’Autorità ai sensi dell’art. 58, par. 2, è punita con sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. È inoltre ricordato che il mancato riscontro alla richiesta dell’Autorità è sanzionato ai sensi degli artt. 83, par. 5, lett. e), GDPR e 166 del Codice privacy.

Esito del procedimento

Il Garante dispone infine l’annotazione del provvedimento nel registro interno delle violazioni e delle misure adottate. Resta salva ogni ulteriore determinazione, anche sanzionatoria, all’esito dell’istruttoria ancora in corso. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.