Prescrizioni del Garante n. 362 del 31/08/2023

S.E.D. S.p.A.: ammonimento per accesso non sicuro alla intranet e omissioni sul RPD

Il provvedimento riguarda Servizi Elaborazione Dati S.p.A. (S.E.D.), società interamente partecipata dal Comune dell’Aquila e operante in regime in house per servizi informatici e gestione di banche dati dell’ente. L’istruttoria trae origine da una segnalazione sull’accesso alla intranet aziendale tramite protocollo http e si estende alla mancata tempestiva designazione di un nuovo responsabile della protezione dei dati dopo le dimissioni del precedente.

Origine del procedimento

L’Ufficio ha avviato verifiche chiedendo chiarimenti su:

• modalità di accesso alla intranet aziendale;
• eventuale estensione delle stesse modalità ai servizi forniti al Comune dell’Aquila;
• password policy, credenziali e numero di soggetti abilitati all’accesso.

La società ha sostenuto che i dati gestiti nell’applicativo non fossero dati personali, ma sola documentazione interna, e ha rappresentato di stare modificando il sistema per passare a https.

Trattamento esaminato e profili di sicurezza

Il Garante ha ritenuto che il tema non riguardasse solo documentazione societaria, poiché le credenziali di autenticazione, inclusa la username univoca assegnata agli utenti, costituiscono dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

È stato quindi accertato che l’accesso alla intranet avveniva attraverso http, senza cifratura della trasmissione. Secondo l’Autorità, tale soluzione non garantiva:

• riservatezza dei dati scambiati;
• integrità della comunicazione;
• autenticità del sito visualizzato dall’utente.

Il Garante ha evidenziato i rischi di furto di credenziali, phishing, clonazione del sito e uso illecito delle informazioni di autenticazione.

Violazioni contestate in materia di sicurezza

L’Autorità ha qualificato la condotta come violazione di:

• art. 5, par. 1, lett. f), GDPR, per mancato rispetto del principio di integrità e riservatezza;
• art. 32 GDPR, per mancata adozione di misure tecniche e organizzative adeguate, inclusa la cifratura;
• art. 25 GDPR, per carenza di protezione dei dati fin dalla progettazione, con mancata predisposizione di un protocollo sicuro quale https.

Nel richiamare il considerando 83 GDPR e le Linee guida 4/2019 dell’EDPB sull’art. 25, il Garante ha sottolineato che i trasferimenti sicuri costituiscono parte essenziale delle misure di progettazione e impostazione predefinita.

Designazione del RPD e aggiornamento dei dati di contatto

Sul versante del RPD, è emerso che il professionista inizialmente designato aveva rassegnato le dimissioni con efficacia a una certa data, ma la società non aveva proceduto con sufficiente tempestività alla nomina di un sostituto. Inoltre, i dati di contatto del RPD precedente risultavano ancora pubblicati sul sito e comunicati al Garante.

Il Garante ha ritenuto che S.E.D. fosse tenuta alla designazione del RPD ai sensi dell’art. 37, par. 1, lett. c), GDPR, poiché, quale società che gestisce banche dati e sistemi informativi del Comune dell’Aquila, svolge attività principali consistenti nel trattamento su larga scala di dati personali, incluse categorie particolari di cui all’art. 9 GDPR.

È stata inoltre accertata la violazione dell’art. 37, par. 7, GDPR, per il mancato aggiornamento dei dati di contatto del RPD, necessari sia per la pubblicazione agli interessati sia per la comunicazione all’Autorità di controllo.

Valutazioni conclusive del Garante

Il Garante ha escluso l’archiviazione, ritenendo che gli elementi difensivi non fossero sufficienti a superare i rilievi contestati. Ha però valorizzato alcune circostanze attenuanti:

• assenza di precedenti violazioni o provvedimenti a carico della società;
• rimozione, già in corso di istruttoria, dell’accesso tramite rete intranet non sicura;
• designazione del nuovo RPD, con conseguente comunicazione e pubblicazione dei dati aggiornati.

In considerazione della cessazione delle criticità e della complessiva portata del caso, il Garante ha qualificato la vicenda come "violazione minore" ai sensi del considerando 148 GDPR.

Dispositivo

L’Autorità ha quindi disposto:

• la dichiarazione di illiceità della condotta di S.E.D. S.p.A.;
• l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Non è stata irrogata una sanzione pecuniaria.