Ordinanza ingiunzione o revoca n. 237 del 24/04/2024

Rossi Carta S.r.l. - misure di sicurezza inadeguate, mancata notifica di data breach e email promozionali indesiderate

Il Garante ha definito il procedimento avviato nei confronti di Rossi Carta S.r.l. a seguito del reclamo di un interessato che lamentava l’invio di email promozionali indesiderate e il mancato riscontro a una richiesta di esercizio dei diritti. Dall’istruttoria è emerso anche un quadro di vulnerabilità tecniche del sito e-commerce della società, utilizzato per la raccolta e gestione di dati personali.

Origine del procedimento e attività istruttoria

Il reclamo del 27 agosto 2022 riguardava inizialmente una email promozionale ricevuta dall’interessato e l’assenza di risposta a una richiesta formulata il 6 giugno 2022. In seguito il reclamante ha segnalato ulteriori email indesiderate, fino a riferire, nel maggio 2023, la ricezione di numerose comunicazioni aventi contenuto identico. La società ha sostenuto di non aver risposto in tempo perché la comunicazione era finita nella cartella spam e di aver trattato soltanto l’indirizzo email dell’interessato, ritenuto erroneamente inserito nelle liste di marketing. Ha inoltre ipotizzato che un terzo avesse utilizzato dati reperibili sul web per inoltrare richieste anomale di iscrizione alla newsletter.

Profili tecnici e sicurezza del trattamento

Nel corso dell’istruttoria il competente Dipartimento del Garante ha rilevato che il sito rossicarta.it utilizzava ancora il CMS Prestashop nella versione 1.7.6, ritenuta obsoleta e esposta a numerose vulnerabilità, alcune di gravità elevata. È stata richiamata, tra le altre, la CVE-2022-31181, idonea a consentire attacchi di tipo SQL injection e l’esecuzione di codice malevolo sulla piattaforma. Il Garante ha quindi ritenuto che la società facesse uso di un sistema non adeguatamente aggiornato, pur essendo disponibili da tempo aggiornamenti del produttore, con conseguente rischio per la riservatezza, integrità e disponibilità dei dati trattati.

Violazioni accertate

Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. f), 5, par. 2 e 24 GDPR, ravvisando la mancata adozione di misure tecniche appropriate a proteggere i dati da trattamenti e accessi non autorizzati e l’assenza di adeguata capacità dimostrativa del rispetto del principio di accountability. È stata inoltre contestata la violazione dell’art. 33 GDPR, in quanto l’evento descritto avrebbe potuto integrare una violazione di dati personali suscettibile di comportare un rischio per i diritti e le libertà delle persone fisiche e, quindi, richiedere la notifica al Garante. Infine, in relazione alle email promozionali e alla gestione della richiesta dell’interessato, sono state ritenute violate le norme in materia di trasparenza e diritti dell’interessato, ossia gli artt. 12, par. 3 e 15 GDPR, oltre agli artt. 6 e 7 GDPR e all’art. 130 del Codice privacy.

Valutazioni del Garante sulla mancata notifica

Sul piano della notifica del data breach, l’Autorità ha rilevato che la società aveva rilevato anomalie sul sito, tra cui deindicizzazione e spostamento in blacklist degli indirizzi della mailing list, ma non aveva compiuto una valutazione adeguata del rischio né aveva informato tempestivamente il Garante. Il profilo è stato tuttavia considerato sostanzialmente assorbito dalla più ampia violazione relativa alla sicurezza del trattamento, che aveva impedito alla società di percepire correttamente la portata dell’evento e di attivarsi per tempo.

Email promozionali indesiderate e diritti dell’interessato

Quanto alle comunicazioni promozionali, il Garante ha osservato che la società non ha chiarito in modo convincente l’origine dei dati dell’interessato e, in particolare, non ha fornito una base giuridica idonea per l’invio delle email. Il reclamante non ha ricevuto un riscontro tempestivo alla richiesta di accesso e, secondo l’Autorità, la risposta è stata fornita solo in sede difensiva dopo l’avvio del procedimento. La prosecuzione degli invii anche dopo l’opposizione ha confermato l’assenza di una valida base giuridica.

Sanzione amministrativa e criteri applicati

Ai fini sanzionatori, il Garante ha applicato l’art. 83, par. 3 e 5 GDPR, individuando il massimo edittale nella soglia di 20 milioni di euro, in quanto superiore al 4% del fatturato rilevato dall’ultimo bilancio. La sanzione è stata determinata in euro 30.000,00. Nella quantificazione sono stati considerati: la gravità e durata delle violazioni; la mancata adozione di misure idonee ad attenuare il danno; il grado di responsabilità, anche per l’uso di una piattaforma obsoleta; il numero limitato di interessati coinvolti in concreto; l’assenza di dolo; l’assenza di precedenti; il grado di cooperazione con l’Autorità; e le condizioni economiche della società, qualificata come piccola impresa e colpita anche da ulteriori difficoltà economiche.

Misure correttive e prescrizioni

Oltre alla sanzione pecuniaria, il Garante ha ingiunto alla società, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di adottare con riguardo al sistema di gestione dei contenuti del sito web misure tecniche adeguate allo stato dell’arte e ai rischi esistenti nel trattamento dei dati personali. Ha inoltre ordinato, ai sensi dell’art. 157 del Codice privacy, di comunicare entro 30 giorni dalla notifica le iniziative intraprese per dare attuazione alla misura imposta, avvertendo che l’inosservanza potrà comportare ulteriori sanzioni.

Ulteriori conseguenze del provvedimento

L’Autorità ha disposto la pubblicazione integrale del provvedimento sul proprio sito web e l’annotazione delle violazioni e delle misure adottate nel registro interno. È stata inoltre richiamata la facoltà di opposizione davanti all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR e dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.