Prescrizioni del Garante n. 171 del 21/03/2024

Hamilton Court FX SIM SpA: ordine di comunicazione agli interessati di una violazione dei dati personali

Il Garante per la protezione dei dati personali interviene nei confronti di Hamilton Court FX SIM SpA in relazione a un attacco ransomware subito dal responsabile del trattamento Sefin S.p.A., che ha comportato la cifratura e l’esfiltrazione di dati personali conservati su alcuni server. Il provvedimento si concentra sulla valutazione del rischio ai fini dell’art. 34 GDPR e sull’obbligo di comunicare la violazione agli interessati.

Origine del procedimento e contenuto della violazione

L’Autorità è venuta a conoscenza dei fatti tramite la notifica di violazione del 29 gennaio 2024, integrata il 16 febbraio 2024. L’attacco, avvenuto il 21 gennaio 2024, ha interessato 5 dei 195 server gestiti dal responsabile del trattamento ed ha riguardato dati di varia natura:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o e-mail, numeri di telefono;
• dati finanziari o creditizi: numero di conto corrente, dettagli carta di credito, posizione debitoria;
• documenti di identificazione e riconoscimento: carta d’identità, passaporto, patente, CNS.

L’Ufficio ha inoltre rilevato che siti dedicati alla pubblicazione di rivendicazioni ransomware avevano dato pubblicità all’avvenuta esfiltrazione e alla possibile diffusione online dei dati.

Valutazione del rischio elevato ex art. 34 GDPR

La società aveva dichiarato di ritenere che la violazione non comportasse un rischio elevato per i diritti e le libertà delle persone fisiche e, per tale ragione, non aveva proceduto a informare gli interessati. Il Garante ha invece ritenuto che il rischio fosse elevato, considerando:

• la natura della violazione, caratterizzata da cifratura ed esfiltrazione;
• la tipologia dei dati coinvolti, inclusi dati finanziari e documenti di identità;
• la gravità e la persistenza delle possibili conseguenze per gli interessati;
• il ruolo del titolare nel settore del credito, che richiede un elevato livello di affidabilità e trasparenza.

Sono stati richiamati i considerando 75, 76 e 86 del GDPR, nonché le Linee guida 9/2022 sulla notifica delle violazioni e le Linee guida 01/2021 sugli esempi di notifica, che indicano come gli attacchi ransomware con esfiltrazione comportino normalmente un rischio elevato, soprattutto in presenza di dati finanziari o documenti di identità.

Mancata dimostrazione delle condizioni di esonero dall’art. 34, par. 3

Il Garante ha osservato che il titolare non ha dimostrato alcuna delle condizioni che consentono di non effettuare la comunicazione agli interessati. In particolare, non ha provato lo sforzo sproporzionato richiesto dalla comunicazione diretta, pur avendo stimato in circa 99 il numero degli interessati coinvolti.

L’Autorità ha inoltre sottolineato che la mancata comunicazione impedisce agli interessati di adottare le precauzioni necessarie in relazione ai rischi derivanti dalla violazione. La valutazione è stata compiuta anche alla luce del principio di responsabilizzazione, che impone al titolare di documentare le proprie scelte e di dimostrare la sussistenza delle condizioni di esonero.

Ordine di comunicazione agli interessati e contenuto minimo

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ha ingiunto alla società di comunicare la violazione senza ritardo e comunque entro 15 giorni dalla ricezione del provvedimento agli interessati coinvolti e raggiungibili, ossia a quelli di cui il titolare abbia evidenza o i cui dati di contatto siano nella sua disponibilità.

La comunicazione deve contenere almeno le informazioni previste dall’art. 34, par. 2, GDPR, e in particolare:

• la natura della violazione;
• le possibili conseguenze;
• i dati di contatto del DPO o di altro punto di contatto;
• le misure adottate o proposte per porre rimedio e attenuare gli effetti negativi.

Il provvedimento precisa che la comunicazione deve essere individuale per gli interessati cui si riferiscono dati idonei, in caso di diffusione illecita, a determinare un rischio alto, cioè dati finanziari/creditizi e documenti di identità.

Per gli interessati i cui dati siano anagrafici o di contatto, è richiesta comunque una comunicazione individuale, salvo comprovata eccessiva onerosità: in tal caso, la comunicazione può essere sostituita da un’azione informativa pubblica, con avviso sul sito web per almeno due settimane e campagna social mirata.

Riscontro documentato, annotazione e profili sanzionatori

Il Garante ha inoltre ordinato alla società di trasmettere entro 30 giorni un riscontro adeguatamente documentato sulle iniziative adottate per dare esecuzione all’ordine di comunicazione. È stata disposta l’annotazione del provvedimento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), GDPR.

Il provvedimento richiama infine che il mancato riscontro è sanzionabile ai sensi degli artt. 83, par. 5, lett. e), GDPR e 166 del Codice privacy, mentre l’inosservanza dell’ordine impartito ai sensi dell’art. 58, par. 2, GDPR può comportare sanzioni amministrative pecuniarie fino a 20.000.000 euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Impugnazione

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria, da proporre entro 30 giorni dalla comunicazione del provvedimento stesso, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.