Prescrizioni del Garante n. 173 del 21/03/2024

Revalue S.p.a. - ordine di comunicazione agli interessati per violazione dei dati personali da attacco ransomware

Il provvedimento riguarda Revalue S.p.a., titolare del trattamento, in relazione a una violazione dei dati personali verificatasi a seguito di un attacco ransomware subito dal responsabile del trattamento Sefin S.p.A. L'Autorità, sulla base della notifica del 1 febbraio 2024 e dell'integrazione del 19 febbraio 2024, valuta la necessità di imporre la comunicazione agli interessati ai sensi dell'art. 34 GDPR.

Fatti e origine della violazione

Il 21 gennaio 2024 si è verificato un attacco informatico che ha comportato la cifratura e la successiva esfiltrazione di dati e documenti presenti in 5 dei 195 server gestiti dal responsabile del trattamento. Dai riscontri acquisiti risultano anche pubblicizzazioni dell'esfiltrazione su siti dedicati al monitoraggio e alla diffusione di rivendicazioni di attacchi ransomware, con possibile pubblicazione online dei dati sottratti.

Dati personali coinvolti

La violazione riguarda una pluralità di categorie di dati, tra cui:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o di posta elettronica, numeri di telefono;
• dati finanziari o creditizi: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identità/riconoscimento: carta di identità, passaporto, patente, CNS.

Valutazione del rischio e norme richiamate

Il Garante richiama gli artt. 33, 34 e 32 del GDPR, i considerando 75, 76 e 86, nonché le Linee guida 9/2022 sulla notifica delle violazioni e le Linee guida 01/2021 sugli esempi di violazione. In base a tali parametri, ritiene che il caso presenti un rischio elevato per i diritti e le libertà delle persone fisiche, considerando:

• la natura della violazione, con esfiltrazione oltre che cifratura;
• la sensibilità e il volume dei dati coinvolti;
• la combinazione di dati finanziari e documenti di identità, idonea a favorire furti di identità e altri pregiudizi;
• il ruolo della società nel settore del credito, che richiede particolare responsabilizzazione e trasparenza;
• il numero di interessati coinvolti, stimato in circa 43.439.

Mancata comunicazione agli interessati e valutazione del Garante

Revalue S.p.a. aveva dichiarato, nella notifica integrativa, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato e di non aver quindi informato gli interessati. Il Garante osserva tuttavia che non è stata dimostrata la sussistenza delle condizioni di cui all'art. 34, par. 3, GDPR, né è stato comprovato uno sforzo sproporzionato tale da giustificare la mancata comunicazione diretta. L'Autorità evidenzia inoltre che la mancata informazione impedisce agli interessati di adottare tempestivamente le precauzioni necessarie.

Ordine impartito dal Garante

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ordina a Revalue S.p.a. di comunicare senza ingiustificato ritardo, e comunque entro 15 giorni dalla ricezione del provvedimento, la violazione agli interessati coinvolti e raggiungibili, fornendo almeno le informazioni di cui all'art. 34, par. 2, GDPR. La comunicazione deve descrivere la natura della violazione, le possibili conseguenze, i dati di contatto del DPO o di altro punto di contatto e le misure adottate per porre rimedio e attenuare gli effetti negativi.

Modalità differenziate della comunicazione

Il provvedimento richiede che la comunicazione sia resa individualmente, con priorità per gli interessati i cui dati sono esposti a rischio alto, in particolare dati finanziari o creditizi e documenti di identità. Per i dati anagrafici e di contatto, la comunicazione individuale resta in linea generale necessaria; solo in caso di comprovata eccessiva onerosità può essere sostituita da un'azione informativa alternativa, consistente in un avviso sul sito web per almeno due settimane e in una campagna social mirata. Tutte le scelte e le attività conseguenti devono essere documentate in conformità al principio di responsabilizzazione.

Riscontro all'Autorità e profili sanzionatori

Il titolare deve trasmettere al Garante, entro 30 giorni, un riscontro adeguatamente documentato sulle iniziative adottate per eseguire l'ordine. Viene ricordato che il mancato rispetto dell'ordine dell'Autorità è punito ai sensi dell'art. 83, par. 6, GDPR, con sanzione amministrativa pecuniaria fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo totale dell'esercizio precedente, se superiore. Il provvedimento è annotato nel registro interno dell'Autorità e resta salva ogni ulteriore determinazione all'esito della più ampia istruttoria ancora in corso.