Prescrizioni del Garante n. 162 del 21/03/2024

Scania Finance Italy S.p.A. – ordine di comunicazione agli interessati di un data breach con esfiltrazione di dati finanziari e documenti di identità

Il provvedimento riguarda Scania Finance Italy S.p.A. ed è adottato a seguito della notifica di una violazione dei dati personali conseguente a un attacco ransomware subito dal responsabile del trattamento Sefin S.p.A. L’evento ha determinato cifratura ed esfiltrazione di dati presenti in alcuni server, con possibile successiva pubblicazione online dei dati compromessi.

Origine del procedimento e fatti essenziali

L’Autorità è venuta a conoscenza del caso tramite notifica di violazione del 24 gennaio 2024, poi integrata il 6 e il 20 febbraio 2024. L’attacco informatico si è verificato il 21 gennaio 2024 e ha interessato 5 dei 195 server gestiti dal responsabile del trattamento. Dagli atti risulta che i dati oggetto di violazione appartenevano all’area di operatività del titolare nel settore finanziario/creditizio.

Dati personali coinvolti

Il Garante individua come categorie di dati compromessi:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o e-mail, numero di telefono fisso o mobile;
• dati di natura finanziaria o creditizia: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identificazione/riconoscimento: carta di identità, passaporto, patente, CNS.

Il provvedimento segnala inoltre che siti internet dedicati alle rivendicazioni di attacchi ransomware avevano pubblicizzato l’avvenuta esfiltrazione e la potenziale pubblicazione online dei dati.

Quadro normativo richiamato

Il Garante richiama in particolare:

• gli artt. 33 e 34 GDPR, relativi rispettivamente alla notifica all’Autorità e alla comunicazione agli interessati;
• l’art. 32 GDPR, in tema di sicurezza del trattamento;
• i considerando 75, 76 e 86 GDPR;
• le Linee guida 9/2022 sulla notifica delle violazioni dei dati personali;
• le Linee guida 01/2021 su esempi riguardanti la notifica di una violazione dei dati personali;
• le Linee guida sulla trasparenza del Gruppo Articolo 29/EDPB, per la valutazione dello sforzo sproporzionato;
• il d.lgs. 196/2003, come modificato dal d.lgs. 101/2018.

Valutazione del rischio e ragioni dell’ordine di comunicazione

La società aveva dichiarato, nelle notifiche integrative, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche e, per tale motivo, di non aver informato gli interessati ai sensi dell’art. 34 GDPR.

Il Garante non condivide tale valutazione e ritiene che il data breach presenti invece un rischio elevato, tenuto conto:

• della natura dell’evento, con cifratura ed esfiltrazione;
• delle categorie di dati coinvolti, in particolare finanziari e documenti di identità;
• della gravità e persistenza delle possibili conseguenze, tra cui furto di identità, divulgazione di informazioni sullo stato patrimoniale e danno reputazionale;
• del ruolo del titolare nel settore del credito, che impone un elevato grado di responsabilizzazione e garanzie di trasparenza e sicurezza.

L’Autorità richiama anche la circostanza che il titolare, pur avendo stimato in circa 4.750 il numero degli interessati, non ha dimostrato la sussistenza della condizione di cui all’art. 34, par. 3, GDPR relativa allo sforzo sproporzionato che la comunicazione individuale richiederebbe.

Contenuto e modalità della comunicazione imposta

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ordina a Scania Finance Italy S.p.A. di comunicare la violazione agli interessati coinvolti e raggiungibili, senza ingiustificato ritardo e comunque entro 15 giorni dalla ricezione del provvedimento.

La comunicazione deve includere almeno le informazioni previste dall’art. 34, par. 2, GDPR, e quindi:

• la natura della violazione;
• le possibili conseguenze;
• i recapiti del responsabile della protezione dei dati o di altro punto di contatto;
• le misure adottate per porre rimedio alla violazione e attenuarne gli effetti negativi.

Quanto alle modalità, il provvedimento distingue tra:

• dati idonei, in caso di diffusione illecita, a generare un livello di rischio "alto", cioè dati finanziari/creditizi e documenti di identità, per i quali la comunicazione deve essere individuale;
• dati anagrafici e di contatto, per i quali è richiesta anch’essa la comunicazione individuale, salvo comprovata eccessiva onerosità, nel qual caso è ammessa una forma sostitutiva con avviso sul sito web per almeno due settimane e campagna social mirata.

Il Garante richiede inoltre che le scelte effettuate e le attività conseguenti siano documentate in coerenza con il principio di responsabilizzazione.

Obbligo di riscontro al Garante e profili sanzionatori

La società deve trasmettere all’Autorità, entro 30 giorni dalla ricezione del provvedimento, un riscontro adeguatamente documentato sulle iniziative intraprese per adempiere all’ordine di comunicazione.

Il provvedimento richiama che il mancato riscontro può essere sanzionato ai sensi degli artt. 83, par. 5, lett. e), GDPR e 166 del Codice privacy, mentre l’inosservanza di un ordine dell’Autorità ex art. 58, par. 2, GDPR è punita ai sensi dell’art. 83, par. 6, GDPR con sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo totale dell’esercizio precedente, se superiore.

Esito del provvedimento

Il dispositivo finale:

• ingiunge a Scania Finance Italy S.p.A. la comunicazione della violazione agli interessati entro 15 giorni;
• ingiunge alla società di trasmettere al Garante un riscontro documentato entro 30 giorni;
• dispone l’annotazione del provvedimento nel registro interno dell’Autorità.

Resta salva ogni ulteriore determinazione, anche sanzionatoria, all’esito della definizione dell’istruttoria avviata sul caso.