Prescrizioni del Garante n. 166 del 21/03/2024

Bmw Bank Gmbh: ordine di comunicazione agli interessati per violazione dei dati personali da attacco ransomware

Il provvedimento riguarda Bmw Bank Gmbh e trae origine da una notifica di data breach presentata il 25 gennaio 2024, successivamente integrata il 6 febbraio 2024, in relazione a un attacco hacker subito il 21 gennaio 2024 dal responsabile del trattamento Sefin S.p.A. L’evento ha comportato la cifratura e la successiva esfiltrazione di dati e documenti presenti in alcuni server gestiti dal responsabile.

Origine del procedimento e fatti accertati

L’Autorità ha preso in esame la documentazione ricevuta ai sensi dell’art. 33 GDPR, nonché ulteriori riscontri emersi in istruttoria. Dalle informazioni disponibili è risultato che l’attacco aveva interessato 5 dei 195 server gestiti dal responsabile del trattamento. L’Ufficio ha inoltre rilevato la pubblicità dell’esfiltrazione su siti internet dedicati alla diffusione di rivendicazioni di attacchi ransomware.

Dati personali coinvolti

La violazione ha riguardato un insieme eterogeneo di dati personali, tra cui:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o e-mail, numero di telefono fisso o mobile;
• dati finanziari e creditizi: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi ai documenti di identificazione/riconoscimento: carta di identità, passaporto, patente, CNS.

Il Garante ha valorizzato la presenza di dati finanziari e di documenti di identità, osservando che la combinazione di tali elementi aumenta il rischio di furto di identità e di altre conseguenze pregiudizievoli per gli interessati.

Valutazione del rischio e obbligo di comunicazione ex art. 34 GDPR

La società aveva comunicato di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche e, per tale ragione, non aveva proceduto a informare gli interessati ai sensi dell’art. 34 GDPR.

Il Garante ha però concluso diversamente, ritenendo che la violazione fosse suscettibile di presentare un rischio elevato. Nella valutazione ha considerato:

• la natura dell’evento, ossia un attacco ransomware con cifratura ed esfiltrazione;
• la natura, sensibilità e volume dei dati coinvolti;
• la gravità e la possibile persistenza delle conseguenze per gli interessati;
• il ruolo del titolare nel settore del credito, che richiede un elevato grado di responsabilizzazione e standard di trasparenza e sicurezza particolarmente elevati.

L’Autorità ha richiamato i considerando 75, 76 e 86 GDPR, gli artt. 33 e 34 GDPR, nonché le Linee guida 9/2022 sulla notifica delle violazioni e le Linee guida 01/2021 sugli esempi di violazione.

Mancata prova dell’esenzione per sforzo sproporzionato

Il Garante ha evidenziato che il titolare non aveva dimostrato la ricorrenza di alcuna delle condizioni di esonero previste dall’art. 34, par. 3, GDPR. In particolare, non era stata comprovata l’eccessiva onerosità dello sforzo richiesto per contattare gli interessati.

Nel corso dell’istruttoria era emerso che gli interessati coinvolti erano circa 2230, ma tale dato non è stato ritenuto sufficiente a giustificare l’omissione della comunicazione individuale. L’Autorità ha inoltre richiamato il principio di responsabilizzazione, sottolineando che il titolare deve essere in grado di dimostrare le condizioni che escludono l’obbligo di comunicazione.

Ordine di comunicazione agli interessati

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ha ingiunto alla società di comunicare la violazione agli interessati coinvolti e raggiungibili, senza ingiustificato ritardo e comunque entro 15 giorni dalla ricezione del provvedimento.

La comunicazione deve contenere almeno le informazioni previste dall’art. 34, par. 2, GDPR, e quindi:

• la natura della violazione;
• le possibili conseguenze;
• i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto;
• le misure adottate per porre rimedio alla violazione e attenuarne gli effetti negativi.

Il provvedimento richiede che la comunicazione sia individuale e calibrata sul rischio. Per i dati idonei a produrre un rischio "alto" in caso di diffusione illecita, in particolare dati finanziari o creditizi e documenti di identità, la comunicazione individuale è espressamente imposta. Per i dati anagrafici e di contatto, la comunicazione individuale resta la regola; solo in caso di comprovata eccessiva onerosità può essere sostituita da un’azione informativa alternativa, consistente in un avviso sul sito web per almeno due settimane e in una campagna social mirata.

Obbligo di riscontro e profili sanzionatori

La società è tenuta a trasmettere al Garante, entro 30 giorni dalla ricezione del provvedimento, un riscontro adeguatamente documentato sulle iniziative intraprese per dare esecuzione all’ordine.

Il provvedimento richiama l’art. 157 del Codice privacy, che impone la collaborazione con l’Autorità, e segnala che l’inosservanza dell’ordine è sanzionata ai sensi dell’art. 83, par. 6, GDPR, con sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Esiti del provvedimento

Il Garante ha quindi:

• ingiunto a Bmw Bank Gmbh la comunicazione della violazione agli interessati entro 15 giorni;
• ingiunto la trasmissione di un riscontro documentato entro 30 giorni;
• disposto l’annotazione del provvedimento nel registro interno delle violazioni e delle misure adottate.

Resta espressamente salva ogni ulteriore determinazione, anche sanzionatoria, all’esito della più ampia istruttoria ancora in corso.