Prescrizioni del Garante n. 165 del 21/03/2024

Blue Factor S.p.a. - ordine di comunicazione agli interessati per data breach da ransomware

Il provvedimento riguarda Blue Factor S.p.a., titolare del trattamento, in relazione a una violazione dei dati personali originata da un attacco ransomware subito dal responsabile del trattamento Sefin S.p.a. Il Garante, valutata la notifica e la documentazione disponibile, ha ritenuto necessaria la comunicazione della violazione agli interessati ai sensi dell’art. 34 GDPR.

Fatto e procedimento

L’Autorità è venuta a conoscenza della violazione tramite notifica del 25 gennaio 2024, successivamente integrata il 9 febbraio 2024. L’attacco, avvenuto il 21 gennaio 2024, ha comportato la cifratura e la successiva esfiltrazione di dati e documenti presenti in 5 dei 195 server gestiti da Sefin S.p.a., quale responsabile del trattamento della società notificante.

Nel corso dell’esame istruttorio è emerso che siti e piattaforme che raccolgono e pubblicizzano rivendicazioni di attacchi ransomware avevano dato notizia dell’esfiltrazione dei dati e della loro potenziale pubblicazione online.

Dati personali coinvolti

La violazione ha interessato diverse categorie di dati personali:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o di posta elettronica, numero di telefono fisso o mobile;
• dati di natura finanziaria o creditizia: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identificazione o riconoscimento: carta di identità, passaporto, patente, CNS.

Il Garante valorizza la combinazione di tali dati, ritenendola idonea a incrementare il rischio per le persone coinvolte, anche in termini di furto di identità, divulgazione di informazioni sullo stato patrimoniale e danno reputazionale.

Valutazione del rischio e obbligo di comunicazione agli interessati

Blue Factor S.p.a. aveva dichiarato, con notifica integrativa del 9 febbraio 2024, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, e per questo non aveva effettuato la comunicazione ex art. 34 GDPR.

Il Garante richiama i criteri di valutazione del rischio e le Linee guida 9/2022 sulla notifica delle violazioni, nonché le Linee guida 01/2021 sui casi di violazione, osservando che nel caso specifico concorrono molteplici fattori aggravanti: la natura di attacco con esfiltrazione, la tipologia e sensibilità dei dati, la possibile diffusione online, il numero degli interessati coinvolti e il particolare ruolo del titolare nel settore del credito.

Secondo l’Autorità, la decisione di non informare gli interessati impedisce loro di adottare tempestivamente le necessarie cautele. Inoltre, il titolare non ha dimostrato la sussistenza di una delle condizioni di esonero previste dall’art. 34, par. 3, GDPR, in particolare la comprovata eccessiva onerosità della comunicazione.

Prescrizioni impartite dal Garante

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ordina alla società di:

• comunicare senza ritardo, e comunque entro 15 giorni dalla ricezione del provvedimento, la violazione a tutti gli interessati coinvolti e raggiungibili;
• fornire almeno le informazioni previste dall’art. 34, par. 2, GDPR, quindi natura della violazione, possibili conseguenze, recapiti del DPO o di altro punto di contatto e misure adottate per porre rimedio e attenuare gli effetti negativi.

La comunicazione deve essere individuale per gli interessati i cui dati, se diffusi illecitamente, comportano un livello di rischio alto, in particolare quelli relativi a dati finanziari o creditizi e documenti di identità.

Per gli interessati cui si riferiscono dati anagrafici e di contatto, la comunicazione individuale è parimenti richiesta, salvo comprovata eccessiva onerosità. In tale ipotesi, la comunicazione può essere sostituita da un’azione informativa più ampia, con avviso pubblicato sul sito web per almeno due settimane e una campagna social mirata.

Il Garante chiede inoltre che tali scelte e le attività conseguenti siano adeguatamente documentate, in applicazione del principio di responsabilizzazione.

Obbligo di riscontro e profili sanzionatori

Blue Factor S.p.a. deve trasmettere all’Autorità, entro 30 giorni, un riscontro documentato sull’attuazione delle prescrizioni. Il provvedimento ricorda che il mancato riscontro è punito ai sensi degli artt. 83, par. 5, lett. e), GDPR e 166 del Codice privacy.

Viene altresì richiamato l’art. 83, par. 6, GDPR, secondo cui l’inosservanza di un ordine dell’autorità di controllo ai sensi dell’art. 58, par. 2, è soggetta a sanzione amministrativa pecuniaria fino a 20.000.000 euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Chiusura del provvedimento

Il Garante dispone l’annotazione del provvedimento nel registro interno delle violazioni e delle misure adottate. Resta salva ogni ulteriore determinazione, anche sanzionatoria, all’esito della definizione dell’istruttoria ancora in corso.

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.