Linee guida n. 594 del 07/12/2023

Linee Guida Funzioni Crittografiche – Conservazione delle Password

Il provvedimento adotta linee guida di indirizzo sulla conservazione sicura delle password nei sistemi di autenticazione informatica o in altri sistemi che le utilizzano come credenziali di accesso. Il destinatario principale è costituito da titolari e responsabili del trattamento, ma il Garante rivolge anche un invito ai produttori di prodotti, servizi e applicazioni affinché incorporino tali criteri già nella fase di progettazione.

Contesto e ragioni dell’intervento

L’Autorità richiama il numero crescente di notifiche di violazioni dei dati personali che hanno comportato l’esfiltrazione di username e password, talvolta relativi a sistemi cessati o disattivati, oppure l’accesso abusivo tramite credenziali acquisite illecitamente in altri attacchi informatici. Dagli accertamenti svolti è emersa una diffusione limitata di misure tecniche efficaci per proteggere le password conservate nei sistemi, anche per una non adeguata valutazione dei rischi da parte dei soggetti obbligati.

Inquadramento giuridico

Il provvedimento si fonda sul GDPR e sul Codice privacy. In particolare, il Garante richiama:

• l’art. 5, par. 1, lett. e) e f), sul principio di limitazione della conservazione e sul principio di integrità e riservatezza;
• l’art. 5, par. 2, e l’art. 24, sul principio di responsabilizzazione;
• l’art. 25, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita;
• l’art. 32, sugli obblighi di sicurezza del trattamento;
• l’art. 57, par. 1, lett. b) e d), sul compito del Garante di promuovere consapevolezza e linee guida;
• l’art. 58, par. 2, e l’art. 83, sulle misure correttive e sulle sanzioni amministrative pecuniarie;
• l’art. 154-bis, comma 1, lett. a), e comma 3, del Codice, quale base nazionale per l’adozione di linee guida e per la pubblicazione.

Sono richiamati inoltre il d.l. 82/2021, convertito dalla legge 109/2021, il ruolo dell’Agenzia per la cybersicurezza nazionale e il protocollo d’intenti tra Garante e ACN del 26 gennaio 2022, in un quadro di cooperazione istituzionale sulle misure di sicurezza.

Misure tecniche per la conservazione delle password

Le linee guida, predisposte con il supporto dell’ACN, contengono indicazioni e raccomandazioni sulle funzioni crittografiche allo stato dell’arte, con particolare riferimento agli algoritmi di password hashing e ai relativi parametri di utilizzo. L’obiettivo è garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento, in modo che titolari e responsabili possano orientare le proprie scelte tecnologiche o progettare i sistemi in conformità ai principi di integrità, riservatezza e sicurezza.

Il Garante osserva che la password è, al tempo stesso, un dato personale riferibile all’utente e una misura di sicurezza basata sulla conoscenza. Proprio per questo, se conservata in modo inadeguato, può favorire furto o usurpazione d’identità e compromettere l’accesso a dati personali riferibili allo stesso utente o ad altri interessati.

Quando l’adozione delle misure è particolarmente necessaria

Il provvedimento ritiene necessario adottare le misure tecniche indicate nelle linee guida, in particolare, quando ricorra una o più delle seguenti condizioni:

• il trattamento riguarda le password di un numero significativo di utenti;
• il trattamento riguarda password di utenti che possono accedere a banche dati di particolare rilevanza o dimensioni;
• il trattamento riguarda password di specifiche tipologie di utenti che trattano sistematicamente, con sistemi informatici, dati appartenenti a categorie particolari o relativi a condanne penali e reati di cui agli artt. 9 e 10 del GDPR.

Conservazione limitata e cancellazione

Il Garante affianca alla protezione crittografica ulteriori indicazioni per dare attuazione al principio di limitazione della conservazione. Le password devono essere conservate solo per il tempo strettamente necessario a verificare l’identità degli utenti ai fini dell’accesso o, se del caso, a garantire la sicurezza del sistema.

È quindi necessario prevedere la cancellazione tempestiva, anche automatica, delle password quando:

• non siano più necessarie per l’autenticazione o per la sicurezza;
• i sistemi informatici o i servizi online cessino;
• le credenziali di autenticazione siano disattivate.

Il provvedimento riconosce che possono esservi esigenze ulteriori, come la memorizzazione delle ultime password impostate per impedirne il riuso da parte dell’utente, oppure la conservazione di copie di sicurezza per il ripristino del sistema in caso di incidente. Tuttavia, prolungare la conservazione aumenta i rischi, anche perché il progresso tecnologico può rendere obsolete o meno efficaci le misure originariamente adottate.

Responsabilità dei titolari e conseguenze del mancato rispetto

Se il Garante accerta violazioni dei principi di limitazione della conservazione, integrità e riservatezza, responsabilizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita, nonché degli obblighi di sicurezza, può applicare i poteri correttivi di cui all’art. 58, par. 2, del GDPR, inclusa la sanzione amministrativa pecuniaria ai sensi dell’art. 83.

Il documento sottolinea quindi che non basta adottare misure tecniche in astratto: occorre anche saper dimostrare la coerenza e l’adeguatezza delle scelte rispetto al rischio concreto, in un’ottica di accountability.

Indicazioni ai produttori

Il Garante invita espressamente i produttori di prodotti, servizi e applicazioni a tenere conto sia delle modalità di conservazione delle password sia dei criteri per determinarne il periodo di conservazione. L’indicazione si collega alla protezione dei dati fin dalla progettazione e per impostazione predefinita, secondo l’impostazione delle linee guida del Comitato europeo per la protezione dei dati sull’art. 25 GDPR.

Pubblicazione e decorrenza

Il provvedimento è del 7 dicembre 2023 ed è stato oggetto di avviso nella Gazzetta Ufficiale, serie generale S.O. n. 15 del 19 gennaio 2024. Il Garante dispone la trasmissione al Ministero della Giustizia per la pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.