Prescrizioni del Garante n. 67 del 08/02/2024

Gilmar Divisione Industria s.p.a. - invio non criptato della password di registrazione e misure di sicurezza

Il provvedimento definisce un reclamo transfrontaliero relativo alla gestione delle password sul sito www.gilmarbox.it da parte di Gilmar Divisione Industria s.p.a., titolare stabilito in Italia. Il Garante italiano è intervenuto quale autorità capofila nella procedura ex art. 56 GDPR, avviata dall'autorità di controllo tedesca a seguito della lamentata trasmissione in chiaro della password nella e-mail di conferma registrazione.

Origine del reclamo e attività istruttoria

Il reclamo è stato presentato all'autorità di controllo di Baden-Wurttemberg da un interessato che denunciava un possibile trattamento illecito dei propri dati personali e dubbi sull'adeguatezza delle misure di sicurezza adottate. L'Autorità ha richiesto alla società informazioni dettagliate sulla procedura di registrazione al sito e sulle modalità di memorizzazione delle password, con particolare riferimento alle tecniche di crittografia, hashing e salting.

Riscontri forniti dal titolare

La società ha chiarito che, nella procedura originaria, la password scelta dall'utente veniva inserita nella e-mail di conferma della registrazione. Ha inoltre rappresentato che le password erano poi archiviate nel database in formato hash mediante algoritmo SHA-256 e con salt differente per ciascun utente. A seguito del reclamo, il titolare ha spontaneamente modificato la procedura, cessando di includere la password nelle e-mail di conferma.

Valutazioni del Garante

Il Garante ha preso atto della collaborazione del titolare e del fatto che l'intervento dell'Autorità ha indotto la cessazione della violazione e la soddisfazione della richiesta dell'interessato. Pur rilevando che nel caso oggetto di reclamo si era configurata una violazione della disciplina in materia di protezione dei dati personali, ha ritenuto di chiudere il procedimento senza misure correttive o sanzionatorie, valorizzando il carattere isolato dell'episodio e la spontanea rimodulazione del trattamento.

Indicazioni operative in materia di sicurezza

Nel provvedimento il Garante invita comunque il titolare a una costante verifica e all'aggiornamento degli standard di sicurezza del trattamento, ai sensi dell'art. 57, par. 1, lett. d), GDPR. Viene anche osservato che, nonostante il sistema adottato offra adeguate garanzie, esistono tecniche di conservazione della password considerate ancora più sicure, quali Argon 2, bcrypt e PBKDF2.

Esito del procedimento e rimedi

Il procedimento è concluso ai sensi dell'art. 143, comma 3, del Codice e dell'art. 60, par. 7, GDPR. Il provvedimento è notificato al titolare e l'autorità tedesca deve informare il reclamante. È ricordata la possibilità di opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, o sessanta giorni se il ricorrente risiede all'estero.