Ordinanza ingiunzione o revoca n. 166 del 12/03/2026

Parmaitaly-Shop S.r.l.: illecito trattamento per insufficiente sicurezza del sito e-commerce

Il Garante per la protezione dei dati personali esamina il data breach notificato da Parmaitaly-Shop S.r.l. relativo al sito di e-commerce www.parmashop.com. Il procedimento riguarda l’adeguatezza delle misure tecniche e organizzative adottate per proteggere i dati dei clienti, in particolare le informazioni delle carte di credito.

Origine del procedimento e istruttoria

La vicenda prende avvio dalla notifica ex art. 33 GDPR trasmessa il 25 settembre 2024, a seguito di un attacco informatico verificatosi sul sito e-commerce della società. L’Autorità ha avviato un’istruttoria e richiesto informazioni con note del 31 ottobre 2024 e del 21 novembre 2024, ricevendo riscontro con comunicazioni dell’8 novembre e del 29 novembre 2024.

Secondo quanto ricostruito, l’attacco si è concretizzato nella sostituzione del file checkout.tpl del tema child con codice malevolo che riproduceva la pagina di pagamento, mediante il caricamento di un file JavaScript esterno ospitato su un dominio creato ad hoc. Il periodo indicato di compromissione va dal 20 agosto al 23 settembre 2024.

Dati personali coinvolti

La violazione ha riguardato i dati di circa 221 clienti. In particolare, sono stati esposti:

• numero della carta di credito;
• data di scadenza;
• codice di verifica CVC;
• nome, cognome ed e-mail dell’intestatario.

L’Autorità sottolinea la particolare delicatezza dei dati coinvolti, trattandosi di informazioni finanziarie utilizzate nel contesto di pagamenti online.

Cause tecniche della violazione

L’istruttoria ha evidenziato che il sito utilizzava il CMS PrestaShop in versione non aggiornata 1.7.8.5, risalente al 18 marzo 2022 e quindi esposta a numerose vulnerabilità. Il provvedimento richiama la presenza di 20 vulnerabilità associate a quella versione, 15 delle quali di gravità elevata.

Tra queste, il Garante evidenzia la CVE-2023-39526, con CVSS 9.8/10, che consente, secondo le informazioni richiamate nel provvedimento, remote code execution tramite SQL injection e file write arbitrario nel backoffice. Tale vulnerabilità viene ritenuta verosimilmente sfruttata per l’esecuzione del codice malevolo responsabile del data breach.

Violazione degli artt. 5, par. 1, lett. f) e 32 GDPR

L’Autorità ribadisce che il principio di integrità e riservatezza e l’art. 32 GDPR impongono al titolare di adottare misure tecniche e organizzative adeguate al rischio del trattamento, incluse attività periodiche di manutenzione e aggiornamento dei sistemi.

Nel caso concreto, il mancato aggiornamento del CMS per un periodo molto lungo ha esposto il portale a rischi evitabili. Il Garante esclude che la società potesse considerarsi diligente per il solo fatto di aver affidato a un fornitore attività di "Analisi & Assessment commercio elettronico", poiché tale incarico non sostituiva l’obbligo ordinario di mantenere aggiornato e sicuro il sistema di gestione dei contenuti.

Misure adottate dopo l’incidente

Dopo la violazione, la società ha:

• disabilitato il pagamento con carta di credito;
• affidato l’analisi, la correzione e la messa in sicurezza del server a una web agency;
• installato l’antivirus Imunify360;
• attivato il WAF del fornitore iSmartFrame;
• introdotto regole personalizzate nel WAF;
• avviato un monitoraggio costante dell’e-commerce e dei sistemi di pagamento;
• aggiornato il CMS PrestaShop alla versione 1.7.8.11;
• avviato la migrazione del sito verso Shopify.

Il Garante rileva che le misure correttive idonee a rimuovere la vulnerabilità sono state adottate solo dal 7 marzo 2025.

Valutazioni conclusive del Garante

Alla luce degli elementi acquisiti, l’Autorità accerta la violazione dell’art. 5, par. 1, lett. f) e dell’art. 32 GDPR. La violazione è considerata protratta per circa 5 mesi, dal 25 settembre 2024 al 7 marzo 2025, e ha coinvolto 221 interessati.

Il Garante ritiene tuttavia che, essendo state nel frattempo adottate misure idonee a superare le criticità riscontrate, non sussistano i presupposti per ulteriori misure correttive ex art. 58, par. 2 GDPR.

Dispositivo

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato da Parmaitaly-Shop S.r.l. per violazione degli artt. 5, par. 1, lett. f) e 32 GDPR;
• dispone la pubblicazione del provvedimento sul sito internet del Garante;
• ordina l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È inoltre indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.