Ordinanza ingiunzione o revoca n. 198 del 11/04/2024

Innova Camera - conservazione indebita di backup e password con hashing MD5 in seguito a data breach

Il provvedimento riguarda Innova Camera, Azienda speciale della Camera di commercio di Roma, ritenuta responsabile di violazioni in materia di protezione dei dati personali connesse a un attacco informatico che ha interessato il sistema di gestione degli appuntamenti online dell’Ente. L’istruttoria prende le mosse dalla notifica di un data breach ai sensi dell’art. 33 GDPR e si conclude con l’irrogazione di una sanzione amministrativa pecuniaria.

Fatti e origine dell’istruttoria

La Camera di commercio ha comunicato al Garante un attacco informatico di tipo SQL injection contro una componente del CMS del portale istituzionale, fornito da ISWEB. L’attacco avrebbe consentito l’accesso al database applicativo e la successiva manipolazione delle utenze, con inserimento di backdoor e accesso da remoto al sistema.

Nel corso degli accertamenti è emerso che i dati pubblicati online riguardavano non il sito istituzionale in sé, ma un database di backup dell’applicativo che gestiva gli appuntamenti online, contenente dati di circa 22.334 utenti. I dati coinvolti comprendevano:

• dati anagrafici, tra cui nome, cognome e codice fiscale;
• dati di contatto, tra cui e-mail e numeri di telefono;
• dati di accesso e identificazione, tra cui username e password crittografata con MD5.

Ruoli privacy e perimetro di responsabilità

Il Garante ha chiarito che titolare del trattamento era la Camera di commercio di Roma, mentre Innova Camera operava in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR. Le scelte contestate, relative alla gestione del backup e alle modalità di conservazione delle password, sono state ricondotte alla sfera di competenza del responsabile, nell’ambito della discrezionalità tecnica riconosciuta su aspetti di dettaglio organizzativo e di sicurezza.

Violazioni accertate

L’Autorità ha accertato due profili principali di illiceità:

• violazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR, perché la copia di backup avrebbe dovuto essere cancellata al termine della migrazione dell’applicativo o comunque entro un termine congruo;
• violazione del principio di integrità e riservatezza e degli obblighi di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 GDPR, perché le password erano memorizzate con hashing MD5, ritenuto non adeguato allo stato dell’arte.

Il Garante ha osservato che già da tempo erano note le vulnerabilità di MD5, tali da consentire di risalire dalla stringa hash alla password originaria. Ha inoltre richiamato l’esigenza di una valutazione continua dell’adeguatezza delle misure tecniche e organizzative, non limitata al momento iniziale di progettazione del servizio.

Valutazione delle difese

Nelle difese, Innova Camera ha sostenuto che l’evento fosse dovuto a un attacco criminale al CMS ISWEB e a un errore umano nella mancata cancellazione del backup dopo la migrazione del sistema. Ha affermato che il file non era destinato alla pubblicazione, che non risultavano precedenti criticità e che il nuovo sistema degli appuntamenti era stato progettato senza autenticazione.

Il Garante ha ritenuto tali argomentazioni non sufficienti a giustificare l’archiviazione. Ha rilevato, in particolare, che la conservazione del backup non era più necessaria e che, quanto alle password, la robustezza del meccanismo di hashing non era adeguata rispetto ai rischi noti e allo stato dell’arte.

Circostanze attenuanti e misure successive

Pur confermando le violazioni, l’Autorità ha valorizzato alcune circostanze favorevoli al titolare/responsabile ai fini sanzionatori, tra cui:

• l’origine colposa della condotta;
• l’assenza di precedenti violazioni pertinenti;
• l’immediata attivazione per contenere gli effetti dell’incidente;
• la collaborazione con il titolare del trattamento e con l’Autorità;
• l’invio di comunicazioni agli interessati con raccomandazione di non riutilizzare la password compromessa e di modificarla anche su altri servizi eventualmente coincidenti.

Sono state inoltre considerate le misure adottate dopo l’evento, quali la cancellazione del backup, il blocco delle utenze, la richiesta di rimozione del post pubblicato online, la verifica del server, la modifica delle chiavi di accesso e la migrazione dei servizi su un nuovo server.

Sanzione amministrativa e criteri di quantificazione

Ai fini della determinazione della sanzione, il Garante ha applicato i criteri dell’art. 83, par. 2, GDPR, qualificando la gravità complessiva delle violazioni come media. Ha richiamato il principio di cui all’art. 83, par. 3, GDPR, trattandosi di più violazioni relative allo stesso trattamento o a trattamenti collegati.

L’importo è stato determinato come segue:

• euro 10.000 per la violazione dell’art. 5, par. 1, lett. e), GDPR;
• euro 15.000 per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR.

La sanzione complessiva irrogata a Innova Camera è quindi pari a euro 25.000.

Esito finale e ulteriori disposizioni

Il Garante ha rilevato l’illiceità della condotta di Innova Camera e ha disposto il pagamento della sanzione entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà dell’importo entro il medesimo termine, ai sensi dell’art. 166, comma 8, del Codice privacy.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante, ritenendo sussistenti i presupposti per la misura accessoria prevista dall’art. 166, comma 7, del Codice e dall’art. 16 del regolamento n. 1/2019.