Prescrizioni del Garante n. 292 del 09/05/2024

InfoCert S.p.A. – illiceità del trattamento e carenze di sicurezza nel servizio PEC

Il provvedimento riguarda il trattamento dei dati personali connesso al servizio di posta elettronica certificata gestito da InfoCert S.p.A., in seguito a un grave attacco informatico avvenuto nel maggio 2019. L’istruttoria ha riguardato sia la gestione della violazione dei dati personali, sia l’assetto complessivo dei trattamenti svolti nell’erogazione del servizio PEC, anche tramite una rete di intermediari e responsabili del trattamento.

Origine del procedimento e fatto storico

A inizio maggio 2019 il Garante è venuto a conoscenza di un attacco informatico rivendicato da sedicenti gruppi di hacktivisti, con esfiltrazione e diffusione online di dati personali provenienti da portali istituzionali di vari Ordini degli avvocati. Tra i dati compromessi vi erano credenziali di autenticazione per l’accesso a caselle PEC con dominio "ordineavvocatiroma.org", gestite da InfoCert per migliaia di iscritti all’Ordine degli avvocati di Roma. In alcuni casi, gli attaccanti hanno anche effettuato accessi non autorizzati alle caselle e diffuso online messaggi ivi contenuti.

Ruoli soggettivi e rete di intermediari

InfoCert, operatore del servizio PEC, si avvaleva di una rete molto ampia di rivenditori/intermediari, oltre 56 soggetti complessivi. Tra questi, Visura S.p.A. aveva un ruolo centrale nella rivendita e nella gestione di alcune fasi operative, connessa anche alla precedente incorporazione di Lextel S.p.A. Nel corso dell’istruttoria è emerso che, al momento dei fatti, il rapporto con Visura non era ancora adeguatamente formalizzato con un contratto o altro atto giuridico conforme all’art. 28 GDPR; analogamente, per altri 55 intermediari i relativi accordi risultavano mancanti o in corso di predisposizione.

Registro delle attività di trattamento

Il Garante ha rilevato che il registro dei trattamenti tenuto da InfoCert, pur più volte aggiornato nel corso dell’istruttoria, presentava inizialmente diverse criticità. In particolare:

• mancava l’indicazione di una specifica attività relativa all’"attivazione funzione del Servizio PEC di copia messaggi su caselle clone gestite su ambiente e software esterni";
• per alcune attività non erano riportate correttamente le categorie di dati, incluse quelle di cui agli artt. 9 e 10 GDPR;
• non erano descritte in modo adeguato le informazioni sui responsabili del trattamento. Il Garante ha considerato tali lacune rilevanti anche in chiave di responsabilizzazione del titolare.

Gestione dei data breach e documentazione interna

Quanto alla documentazione delle violazioni, InfoCert aveva inizialmente prodotto un registro dei data breach molto sintetico e privo di elementi essenziali: cause, valutazioni di rischio, ragioni delle decisioni e misure adottate per rimediare agli incidenti. Anche con riferimento alla violazione in oggetto, la documentazione non è stata ritenuta adeguata ai sensi dell’art. 33, par. 5, GDPR e delle linee guida europee in materia.

Comunicazione della violazione agli interessati

Il Garante ha ritenuto non conforme la gestione delle comunicazioni ex art. 34 GDPR. La prima comunicazione del 9 maggio 2019 è stata giudicata tardiva e insufficiente perché:

• non indicava chiaramente il coinvolgimento del destinatario;
• non descriveva in modo adeguato le categorie di dati compromessi;
• non spiegava compiutamente le possibili conseguenze della violazione;
• è stata inviata solo agli utenti per i quali era disponibile un indirizzo email ordinario, senza soluzioni alternative per gli altri. Le comunicazioni successive del 23 settembre, 7 ottobre e 11 ottobre 2019 hanno riguardato solo un numero ridotto di interessati e, in un primo momento, hanno anche fornito un’informazione non corretta circa la presenza di operazioni sui messaggi. Solo in una comunicazione successiva è stato chiarito che gli ignoti avevano consultato e scaricato i messaggi presenti nelle caselle.

Sicurezza del trattamento: profili contestati

L’Autorità ha ritenuto che InfoCert non avesse adottato misure tecniche e organizzative adeguate al rischio, in violazione degli artt. 5, par. 1, lett. f), e 32 GDPR. I principali profili contestati hanno riguardato:

• il processo di attivazione delle caselle PEC tramite intermediari, che consentiva la visualizzazione in chiaro delle credenziali di prima attivazione;
• la mancata obbligatorietà della modifica della password al primo utilizzo, almeno fino al 3 luglio 2019;
• le procedure di reset e consegna delle nuove password, considerate poco sicure perché inviate in chiaro o comunque gestite con modalità non sufficientemente protette;
• la mancata adozione di strumenti efficaci per individuare accessi non autorizzati alle caselle compromesse;
• la mancata vigilanza sugli intermediari responsabili del trattamento;
• l’accesso al log certificato tramite applicazione esposta su rete pubblica e con credenziali non nominali condivise;
• l’inadeguatezza di alcuni sistemi di logging, che non consentivano una tracciabilità completa delle operazioni.

Responsabilità del responsabile del trattamento e condotte di Visura

Nel procedimento sono emerse anche criticità imputabili a Visura nella veste di responsabile del trattamento, tra cui l’uso di software obsoleti, l’assenza di adeguata crittografia nel trasporto dei dati, la mancata definizione di politiche di password per utenze tecniche e l’uso di tecniche di conservazione non idonee per le credenziali. Il Garante ha tuttavia disposto, per questi specifici profili riferiti a condotte di Visura, l’archiviazione del procedimento nei confronti di InfoCert, evidenziando che tali condotte erano oggetto di separato procedimento.

Valutazione d’impatto, privacy by design e by default

È stato accertato che la DPIA non copriva tutti i trattamenti del servizio PEC a rischio elevato, in particolare quelli relativi alla trasmissione dei messaggi, al servizio di trasmissione, alla conservazione dei log certificati e all’attivazione della funzione di copia messaggi su cartella clone. Inoltre, la valutazione prodotta era ritenuta prevalentemente tecnica e non sufficientemente centrata sugli impatti sui diritti e sulle libertà degli interessati. Da qui la contestazione della violazione dell’art. 35 GDPR e, correlativamente, degli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita di cui all’art. 25 GDPR.

Esito finale

Il Garante ha concluso dichiarando, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da InfoCert per violazione degli artt. 5, par. 1, lett. a) e f), 5, par. 2, 12, par. 1, 25, 28, 30, 32, 33, par. 5, 34 e 35 GDPR. Nel provvedimento finale si dà atto che la condotta ha esaurito i propri effetti e che non ricorrono i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR. È inoltre disposta l’annotazione del provvedimento nel registro interno dell’Autorità.