Parere del Garante n. 172 del 21/03/2024

Violazione dei dati personali presso Alphabet Italia S.p.A. e ordine di comunicazione agli interessati

Il Garante per la protezione dei dati personali interviene a seguito di una notifica di violazione resa da Alphabet Italia S.p.A. ai sensi dell’art. 33 GDPR, relativa a un attacco hacker subito il 21 gennaio 2024 dal responsabile del trattamento Sefin S.p.A., con cifratura ed esfiltrazione di dati e documenti presenti su alcuni server. Il provvedimento riguarda la valutazione dell’obbligo di comunicazione della violazione agli interessati ai sensi dell’art. 34 GDPR e, in particolare, la correttezza della scelta del titolare di non procedere a tale informazione.

Quadro normativo di riferimento

Il Garante richiama gli artt. 32, 33 e 34 del Regolamento (UE) 2016/679, oltre al d.lgs. 196/2003 come modificato dal d.lgs. 101/2018. Sono richiamate anche le Linee guida 9/2022 sulla notifica delle violazioni dei dati personali e le Linee guida 01/2021 su esempi riguardanti la notifica di una violazione, nonché il considerando 86 GDPR sul ruolo della comunicazione agli interessati come misura di tutela e mitigazione.

Dati compromessi e contesto dell’evento

L’evento ha interessato 5 dei 195 server gestiti dal responsabile del trattamento. I dati coinvolti comprendono:

• dati anagrafici, quali nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto, quali indirizzo postale o e-mail, numero di telefono;
• dati di natura finanziaria o creditizia, tra cui numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identificazione e riconoscimento, quali carta d’identità, passaporto, patente e CNS.

L’Ufficio segnala inoltre che siti dedicati alla raccolta e diffusione di rivendicazioni di attacchi ransomware avrebbero pubblicizzato l’avvenuta esfiltrazione e la possibile pubblicazione online dei dati.

Valutazione del rischio effettuata dal Garante

La società aveva comunicato, con successiva integrazione del 8 febbraio 2024, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, e quindi di non aver informato gli interessati. Il Garante non condivide tale valutazione e ritiene invece che la violazione presenti un rischio elevato, tenuto conto:

• della natura dell’attacco, con cifratura ed esfiltrazione;
• della natura e sensibilità dei dati coinvolti;
• della possibile gravità e persistenza delle conseguenze per gli interessati;
• del rischio di furto di identità, danno reputazionale e divulgazione di informazioni sullo stato patrimoniale;
• del settore di attività del titolare, operante nel credito, che richiede un elevato livello di responsabilizzazione e di fiducia.

Il Garante richiama i criteri indicati dalle Linee guida sulla notifica: tipo di violazione, natura e volume dei dati, facilità di identificazione degli interessati, gravità delle conseguenze, caratteristiche degli interessati, caratteristiche del titolare e numero degli interessati coinvolti.

Obbligo di comunicazione agli interessati ex art. 34 GDPR

Ai sensi dell’art. 34, par. 1, GDPR, quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicare senza ingiustificato ritardo la violazione all’interessato, salvo che ricorra una delle eccezioni del par. 3, ritenute non applicabili nel caso di specie. Il Garante osserva che la mancata comunicazione impedisce agli interessati di adottare le necessarie precauzioni.

L’Autorità evidenzia anche che il titolare non ha dimostrato la sussistenza di uno sforzo sproporzionato che giustifichi l’omissione della comunicazione individuale, nonostante avesse individuato circa 400 interessati coinvolti.

Prescrizioni impartite dal Garante

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ingiunge alla società di comunicare agli interessati coinvolti e raggiungibili la violazione dei dati personali, fornendo almeno le informazioni previste dall’art. 34, par. 2, GDPR, e cioè:

• natura della violazione;
• possibili conseguenze;
• dati di contatto del responsabile della protezione dei dati o di altro punto di contatto;
• misure adottate per porre rimedio e attenuare gli effetti negativi.

La comunicazione deve avvenire senza ingiustificato ritardo e comunque entro 15 giorni dalla ricezione del provvedimento.

Differenziazione in base al livello di rischio

Il Garante precisa che la comunicazione deve essere individuale, in via prioritaria, per gli interessati ai cui dati è associato un rischio "alto", in particolare per i dati di natura finanziaria o creditizia e per i dati relativi ai documenti di identità.

Per i dati con rischio inferiore ad alto, come dati anagrafici e di contatto, è comunque richiesta la comunicazione individuale, salvo comprovata eccessiva onerosità. In tale ipotesi, il titolare può sostituirla con misure informative alternative, ossia:

• un avviso pubblicato sul proprio sito web per almeno due settimane;
• una campagna social mirata.

Obblighi di documentazione e riscontro al Garante

Il provvedimento richiede che le scelte effettuate e le relative attività siano documentate in ossequio al principio di responsabilizzazione. Inoltre, Alphabet Italia S.p.A. deve trasmettere all’Autorità, entro 30 giorni, un riscontro adeguatamente documentato sulle misure intraprese per dare attuazione all’ordine di comunicazione.

Conseguenze in caso di inottemperanza

Il Garante richiama la possibilità di ulteriori determinazioni all’esito dell’istruttoria in corso e ricorda che l’inosservanza dell’ordine dell’Autorità è soggetta alle sanzioni amministrative previste dall’art. 83, par. 6, GDPR, oltre alle disposizioni del Codice privacy richiamate nel provvedimento. Viene inoltre disposta l’annotazione del provvedimento nel registro interno dell’Autorità.