Prescrizioni del Garante n. 252 del 08/06/2023

Stadion s.r.l. - archiviazione di un procedimento per violazione dei dati personali su sito web

Il Garante ha esaminato una violazione dei dati personali subita da Stadion s.r.l., titolare del sito di aste online www.stadionaste.it, consistente nell’estrazione illecita di dati dal database del sito a seguito di una vulnerabilità di tipo SQL Injection. Il procedimento è stato trattato anche in cooperazione transfrontaliera, poiché la platea degli interessati comprendeva cittadini di più Stati membri dell’Unione europea.

Origine del procedimento e quadro normativo

Il caso origina dalla notifica di data breach del 27 febbraio 2021, relativa a un incidente verificatosi il giorno precedente, e dalla successiva notifica integrativa del 23 aprile 2021, oltre che da ulteriori riscontri e integrazioni trasmessi al Garante fino a marzo 2023. L’Autorità richiama gli artt. 32, 33, 34, 56 e 60 GDPR, il Codice privacy e le Linee guida del Gruppo ex art. 29 sulla notifica delle violazioni dei dati personali.

Violazione accertata e dati coinvolti

La violazione è consistita nell’accesso illecito, da parte di soggetti ignoti, al database del sito web della società e nella successiva estrazione dei dati personali ivi contenuti. I dati interessati riguardavano 2.905 utenti e comprendevano:

• nome e cognome;
• indirizzo;
• numero di telefono;
• indirizzo email;
• codice fiscale;
• tipo e numero di documento.

L’istruttoria ha ricondotto l’evento a una vulnerabilità del sito sfruttata mediante attacco SQL Injection, che ha consentito l’accesso al database delle utenze e l’esfiltrazione delle informazioni.

Notifica della violazione e comunicazione agli interessati

Il Garante ha rilevato che il titolare ha notificato la violazione senza ingiustificato ritardo, dunque in coerenza con l’art. 33 GDPR. Inoltre, la società ha comunicato la violazione agli interessati in data 2 marzo 2021, ai sensi dell’art. 34 GDPR. All’esito dell’istruttoria non è stata ravvisata, allo stato, inosservanza degli obblighi di notifica e comunicazione previsti dal Regolamento.

Profilo transfrontaliero e cooperazione tra autorità

Benché il sito fosse disponibile solo in lingua italiana, l’utenza è risultata internazionale e ha coinvolto cittadini di vari Stati membri. Per tale ragione il Garante ha attivato la procedura prevista dall’art. 56 GDPR nel Sistema IMI, operando come autorità capofila. Nel procedimento sono state coinvolte 13 autorità di controllo di altri Paesi, tra cui Slovacchia, Germania, Francia, Polonia, Slovenia, Lussemburgo, Spagna, Ungheria, Lituania, Paesi Bassi, Austria e Portogallo.

Misure correttive e rafforzamento della sicurezza

A seguito dell’incidente, Stadion s.r.l. ha dichiarato di avere adottato ulteriori misure di sicurezza e prevenzione, tra cui:

• potenziamento del codice delle pagine del sito per evitare ulteriori vulnerabilità SQL Injection;
• adozione di tecniche crittografiche per la conservazione delle password;
• aumento della complessità delle password, sia nel numero minimo di caratteri sia nella tipologia richiesta;
• previsione dell’aggiornamento periodico delle password;
• controllo regolare delle attività anomale sugli accessi al sito e sulle richieste dei dati.

Decisione finale

Alla luce della documentazione acquisita e delle misure adottate dal titolare, il Garante ha adottato, ai sensi dell’art. 60, par. 3 GDPR, un progetto di decisione finale di archiviazione del procedimento nei confronti di Stadion s.r.l., non ravvisando allo stato elementi di violazione del Regolamento. Il provvedimento non contiene sanzioni né prescrizioni ulteriori.