Prescrizioni del Garante n. 472 del 06/08/2025

PluService S.r.l. e violazione dei dati personali con esfiltrazione di credenziali

Il provvedimento riguarda PluService S.r.l. ed è adottato a seguito di una violazione dei dati personali notificata all’Autorità il 3 aprile 2025. L’incidente ha coinvolto sistemi informatici e copie di backup temporanee non cifrate, con esfiltrazione di dati personali, tra cui credenziali di autenticazione e dati identificativi di operatori di clienti committenti. Il Garante interviene in via correttiva, ritenendo necessarie misure urgenti per la tutela dei diritti e delle libertà degli interessati.

Origine del procedimento e sviluppo dell’istruttoria

PluService ha inizialmente rappresentato che erano stati rilevati tentativi di accesso ai server aziendali e ulteriori attività sospette anche sui server del fornitore WIIT, con attivazione dei sistemi di risposta all’incidente e del DPO. In seguito, con notifiche integrative del 4 aprile e del 9 maggio 2025, la società ha chiarito che la violazione aveva coinvolto circa 160 interessati trattati come dati propri e che l’analisi forense aveva individuato asset oggetto di esfiltrazione malevola e non autorizzata.

L’Ufficio ha quindi svolto una richiesta di informazioni ex art. 157 Codice e successivi accertamenti ispettivi nei giorni 3, 4 e 5 giugno 2025, estesi anche a myCicero. Dalle verifiche è emerso che l’attacco aveva sfruttato una vulnerabilità di un server ospitato presso la sede legale di PluService e che, tramite movimenti laterali, erano stati esfiltrati dati da server presso il data center WIIT, dove erano presenti copie di backup non protette da crittografia.

Ruolo di PluService nei trattamenti oggetto di violazione

Nel corso dell’istruttoria il Garante ha richiamato le definizioni di titolare e responsabile del trattamento di cui all’art. 4 GDPR e le Linee guida EDPB 07/2020. Ha rilevato che PluService, per i dati personali degli operatori dei clienti committenti abilitati ai servizi di backoffice o di prenotazione auto aziendali, opera in qualità di responsabile del trattamento per conto dei clienti.

L’Autorità ha precisato che tale qualificazione è adottata nella fase attuale, ai soli fini delle misure correttive urgenti, e senza pregiudizio di diverse valutazioni all’esito dell’istruttoria. I titolari del trattamento coinvolti risultano, tra gli altri, Adriabus, Autoguidovie, KYMA Mobilità, ATAP, Busitalia Veneto, Fly Bus, Ente Autonomo Volturno, Mobilità di Marca, Start Romagna, Tirreno Azienda Mobilità, TPL Linea, Trasfer, Tiemme e RAI Radiotelevisione Italiana.

Violazione dell’art. 33, par. 2, GDPR: comunicazione ai titolari insufficiente

L’art. 33, par. 2, GDPR impone al responsabile di informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, e l’art. 28, par. 3, lett. f), richiede che il responsabile assista il titolare nell’adempimento degli obblighi di cui agli artt. 32-36.

Il Garante, applicando anche le Linee guida EDPB 9/2022, ha osservato che le comunicazioni inviate da PluService ai titolari non contenevano elementi sufficienti per consentire una valutazione completa della violazione. In particolare:

• non erano indicate chiaramente le credenziali di autenticazione tra i dati violati, pur essendo emersa l’esfiltrazione di username e password in forma di digest;
• non erano descritte le misure tecniche adottate per proteggere le password;
• non era stato specificato con precisione a quali sistemi le credenziali consentissero l’accesso;
• mancavano informazioni puntuali sul numero degli interessati coinvolti;
• erano state fornite indicazioni fuorvianti sul rischio per i diritti e le libertà degli interessati.

Secondo l’Autorità, ciò impediva ai titolari di valutare correttamente il rischio e di adempiere agli obblighi di notifica e comunicazione agli interessati previsti dagli artt. 33 e 34 GDPR. Da qui la contestazione della violazione dell’art. 33, par. 2, GDPR.

Violazione dell’art. 32 GDPR: misure di sicurezza non adeguate

L’art. 32 GDPR richiede misure tecniche e organizzative adeguate, tenendo conto dello stato dell’arte, dei costi, della natura del trattamento e del rischio. Le Linee guida EDPB 9/2022 richiamano tra le misure successive a un data breach che coinvolga credenziali anche il ripristino forzato delle password.

Nel caso esaminato, PluService si era limitata a invitare i titolari a far cambiare periodicamente le password, senza informare della reale compromissione delle credenziali. Il Garante ha ritenuto tale condotta inidonea ad attenuare i possibili effetti negativi della violazione, perché le credenziali esfiltrate avrebbero potuto essere sfruttate per accessi abusivi ai sistemi e per ulteriori trattamenti illeciti di dati personali. È stata quindi ravvisata anche la violazione dell’art. 32 GDPR.

Misure correttive ordinate dal Garante

Ritenendo sussistenti necessità e urgenza di intervento, l’Autorità ha ingiunto a PluService, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di:

• adempiere agli obblighi informativi ex art. 33, par. 2, GDPR, comunicando senza ritardo e comunque entro 7 giorni ai titolari coinvolti una notifica completa della violazione, con indicazione precisa delle tipologie di dati violati, delle misure di protezione adottate al momento dell’incidente, dei sistemi coinvolti e del numero degli interessati;
• adottare senza ritardo e comunque entro 20 giorni adeguate misure per attenuare gli effetti negativi della violazione, imponendo la modifica delle password oggetto di violazione e, se necessario, inibendone l’utilizzo per l’accesso ai sistemi coinvolti;
• fornire all’Autorità, entro 30 giorni, un riscontro documentato sulle iniziative intraprese per dare attuazione ai due ordini precedenti.

Il provvedimento precisa che l’inosservanza di un ordine ex art. 58, par. 2, è soggetta alle sanzioni amministrative pecuniarie di cui all’art. 83, par. 6, GDPR.

Obblighi di assistenza del responsabile e profili sanzionatori

Il Garante ricorda che, in qualità di responsabile del trattamento, PluService deve assistere i titolari coinvolti nella valutazione del rischio e nella comunicazione agli interessati, anche mettendo a disposizione elenchi e recapiti e, se richiesto, supportando l’invio delle comunicazioni. Viene inoltre richiamato l’art. 157 del Codice privacy per il riscontro richiesto dall’Autorità e l’art. 166, comma 2, del Codice in relazione alla sanzione per la sua eventuale violazione.

Il provvedimento non irroga una sanzione pecuniaria in questa fase, ma lascia espressamente riserva di ogni ulteriore determinazione, anche sanzionatoria, all’esito della definizione dell’istruttoria. Viene infine richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e delle norme nazionali richiamate.