Prescrizioni del Garante n. 475 del 17/07/2024

INPS – ammonimento per tre data breach nei servizi online emergenziali del 2020

Il provvedimento riguarda l’INPS e tre distinte violazioni di dati personali avvenute nell’ambito dei servizi online attivati per l’erogazione di prestazioni previste dal d.l. 17 marzo 2020, n. 18. Il Garante ha concluso per l’illiceità della condotta e ha adottato un ammonimento, valorizzando il contesto emergenziale ma confermando la violazione di più disposizioni del GDPR.

Origine del procedimento e sviluppi istruttori

Il procedimento prende le mosse dalle notifiche di data breach effettuate dall’INPS il 1° e il 6 aprile 2020 ai sensi dell’art. 33 GDPR, nonché da reclami e segnalazioni degli interessati. L’Autorità aveva già intimato, con provvedimento n. 86 del 14 maggio 2020, la comunicazione delle violazioni agli interessati coinvolti, ritenendo che gli incidenti fossero idonei a presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

Nel corso dell’istruttoria, il Garante ha esaminato sia le cause tecniche degli incidenti, sia le misure adottate dall’Istituto per contenere gli effetti dannosi, identificare gli interessati e prevenire il ripetersi di episodi analoghi. È stata inoltre considerata la difesa dell’INPS, incentrata sul contesto emergenziale, sui tempi ristretti e sul ricorso a partner tecnologici esterni.

Prima violazione: caching improprio tramite CDN

La prima violazione ha riguardato l’accesso ai dati personali di alcuni utenti del portale INPS da parte di terzi non autorizzati, a causa di una non corretta configurazione delle funzionalità di caching di una Content Delivery Network (CDN). L’INPS ha spiegato di aver scelto la CDN per fronteggiare l’enorme traffico atteso per l’apertura delle domande relative alle misure emergenziali e per mitigare attacchi DDoS in corso.

In un primo momento è stata attivata una soluzione Microsoft, poi dismessa per criticità nel caching; successivamente è stata attivata la CDN Akamai, che ha generato la replica in cache di alcune schede anagrafiche del portale. Il funzionamento anomalo si è verificato in una finestra temporale molto breve, dopo l’attivazione del DNS verso il dominio della CDN e prima del rollback alla fruizione diretta dei servizi.

I dati coinvolti includevano:

• codice fiscale;
• cognome e nome;
• data e luogo di nascita;
• indirizzo di residenza;
• telefono, cellulare, email e PEC.

L’INPS ha inizialmente indicato 47 interessati coinvolti, comprensivi di casi relativi alle sezioni "Anagrafica", "INPS Risponde", "Avvisi" e "Messaggi". Sono state anche descritte misure immediate di contenimento, tra cui la disattivazione della CDN, l’istituzione di una casella email dedicata alle segnalazioni e la richiesta di rimozione di contenuti diffusi sui social.

Seconda violazione: errata configurazione del Bonus Baby Sitting

La seconda violazione ha riguardato la procedura informatica per la presentazione delle domande di Bonus Baby Sitting. L’INPS ha spiegato che, per consentire la presentazione telematica in tempi molto ristretti e anche da parte di utenti privi di credenziali tradizionali, era stata sviluppata una nuova procedura con accesso semplificato mediante PIN.

L’errore ha consistito nell’aver attribuito a diverse categorie di utenti, diverse dal cittadino e dai patronati, un profilo di autorizzazione assimilato a quello degli intermediari. Di conseguenza, utenti non autorizzati hanno potuto accedere a domande presentate da altri utenti della stessa categoria e, per le domande in bozza, anche:

• visualizzare il contenuto;
• modificare;
• cancellare;
• trasmettere all’INPS.

L’INPS ha quantificato in 773 il numero massimo di domande potenzialmente interessate, suddivise tra profili "Cittadino PIN semplificato", "Consulente", "Azienda" e ordini professionali. Dopo ulteriori verifiche, ha riscontrato 68 domande visualizzate da terzi, 17 modificate, 81 cancellate e 62 trasmesse da terzi non autorizzati. L’Autorità ha dato atto delle misure correttive adottate, tra cui la chiusura immediata del servizio appena emersa la vulnerabilità e il successivo riavvio nella tarda serata, oltre al blocco delle domande trasmesse da terzi e ai contatti con gli interessati per verificare la correttezza dei dati delle bozze modificate.

Terza violazione: caching nei web server dell’INPS

La terza violazione è stata ricondotta all’attivazione temporanea del caching lato server su alcuni web server dell’INPS, effettuata parallelamente alla predisposizione della CDN, nella fascia oraria tra le 18:10 e le 18:25 del 31 marzo 2020. L’INPS ha riconosciuto che in tale intervallo si sarebbero potuti verificare accessi non autorizzati ai dati personali di utenti che avevano acceduto al portale con le proprie credenziali.

A causa dell’assenza di log sufficientemente dettagliati, l’Istituto non ha potuto ricostruire con precisione tutti i soggetti interessati, ma ha individuato 235 utenti potenzialmente coinvolti; per 9 di essi, anche alcune informazioni su ulteriori servizi, tra cui:

• stato della domanda Domus;
• duplicato Certificazione Unica;
• estratto contributivo;
• pratica di maternità;
• dettaglio pagamenti di prestazioni non pensionistiche.

L’INPS ha pubblicato un comunicato sul sito istituzionale per invitare chiunque fosse venuto casualmente a conoscenza di dati altrui a non divulgarli o utilizzarli indebitamente. Successivamente, dopo approfondimenti e su impulso dell’Autorità, ha comunicato la violazione ai 235 interessati.

Violazioni contestate e norme richiamate

Con l’atto di avvio del procedimento del 17 maggio 2022, l’Ufficio ha contestato all’INPS la violazione degli artt. 5, par. 1, lett. a) e f), 2, 12, 25, 32 e 34 GDPR.

In particolare, il Garante ha ritenuto che:

• le comunicazioni agli interessati fossero state tardive, perché inviate solo dopo il provvedimento del 14 maggio 2020 e ulteriori richieste di approfondimento;
• il caching della CDN e dei web server fosse stato configurato in modo erroneo, senza escludere le pagine contenenti dati personali;
• il sistema di autorizzazione del Bonus Baby Sitting fosse inidoneo a limitare l’accesso alle sole domande dell’utente legittimato;
• l’INPS non avesse adottato misure adeguate a rilevare e gestire tempestivamente le violazioni, anche in relazione alla segnalazione ricevuta il 31 marzo 2020 e non presa in carico.

È stata quindi ravvisata anche la violazione dell’art. 25 GDPR, per mancata attuazione efficace dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Difese dell’INPS e valutazione del Garante

Nelle difese, l’INPS ha sostenuto che il contesto fosse eccezionale e imprevedibile, caratterizzato da urgenza, lockdown, attacchi DDoS, necessità di sviluppare rapidamente procedure nuove e larga diffusione della notizia del data breach tramite stampa e social. Ha inoltre affermato che i dati esposti fossero in larga misura anagrafici e comunque non tali da comportare un rischio elevato.

Il Garante ha però ritenuto che tali argomentazioni non bastassero a escludere la responsabilità dell’Istituto. In particolare ha osservato che:

• il ricorso a partner tecnologici non esonera dal corretto governo delle configurazioni;
• i costi e i tempi di attuazione sono un fattore da considerare, ma non legittimano un abbassamento del livello di protezione;
• i dati personali non possono essere considerati "pubblici" per il solo fatto che taluni interessati li diffondano altrove;
• la comunicazione pubblica generica non sostituisce l’informazione puntuale agli interessati prevista dall’art. 34 GDPR.

Esito finale e misura adottata

Il Garante ha concluso che l’INPS ha violato:

• l’art. 5, par. 1, lett. a) e f), e par. 2 GDPR;
• gli artt. 12, 25, 32 e 34 GDPR.

Pur riconoscendo la gravità delle violazioni, l’Autorità ha tenuto conto del contesto emergenziale, della rapidità con cui l’INPS ha poi cercato di rimediare, dell’assenza di precedenti specifici e delle misure già adottate per contenere i danni. Ha quindi ritenuto non necessario adottare ulteriori misure correttive ex art. 58, par. 2, GDPR, ma ha irrogato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 154-bis, comma 3, del Codice privacy.

È stata disposta la pubblicazione del provvedimento sul sito web del Garante. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.