Prescrizioni del Garante n. 473 del 04/08/2025

myCicero S.r.l. – data breach su MooneyGo e app white label di mobilità

Il provvedimento riguarda myCicero S.r.l., operatore di piattaforme e app per servizi di mobilità, a seguito di una violazione dei dati personali che ha coinvolto anche PluService S.r.l. e numerosi clienti committenti dei servizi white label. L’intervento del Garante è stato adottato in esito a notifiche, integrazioni documentali e accertamenti ispettivi svolti nel giugno-luglio 2025, con l’obiettivo di imporre misure urgenti a tutela degli interessati e dei titolari coinvolti.

Origine del procedimento e ricostruzione dell’incidente

La violazione è stata notificata da myCicero il 4 aprile 2025 ai sensi dell’art. 33 GDPR. Secondo la ricostruzione tecnica, tra il 23 e il 28 marzo erano stati rilevati tentativi di accesso ai server di PluService; il 29 e 30 marzo erano emerse ulteriori attività sospette anche sui server del fornitore WIIT; il 31 marzo erano state avviate le indagini interne, con convocazione del gruppo di risposta alle violazioni, e il 1° aprile Cybertech aveva confermato l’avvenuto data breach sui database di produzione del data center WIIT, con utilizzo di un cloud remoto per l’esfiltrazione.

Le successive notifiche integrative del 6 aprile e del 10 maggio 2025 hanno progressivamente ampliato il quadro della violazione, indicando che essa aveva coinvolto circa 7,6 milioni di interessati. In particolare, risultavano esposti dati anagrafici e di contatto, dati di mobilità, dati di pagamento e, successivamente, anche credenziali di autenticazione, documenti d’identità e attestazioni ISEE. L’Autorità ha inoltre ricevuto notifiche analoghe da altri soggetti del settore mobilità e sosta coinvolti nel medesimo incidente.

Trattamenti coinvolti e ruolo dei soggetti

Durante l’istruttoria è emersa una struttura molto articolata dei trattamenti. myCicero gestisce l’app MooneyGo come titolare del trattamento; rispetto alle app white label, in via generale, opera come responsabile o sub-responsabile per conto dei clienti committenti. In alcuni casi, prima dell’adeguamento contrattuale, aveva qualificato alcuni rapporti come titolarità autonoma o contitolarità, ma nel corso dell’istruttoria ha avviato un riallineamento ex art. 28 GDPR.

Tra i clienti committenti coinvolti figurano numerosi operatori del trasporto pubblico locale, della sosta e di altri servizi di mobilità. Il Garante, nella fase cautelare e correttiva, considera myCicero titolare per MooneyGo e responsabile/sub-responsabile per le app white label, pur riservandosi ulteriori valutazioni all’esito dell’istruttoria complessiva.

Dati personali interessati dalla violazione

L’istruttoria ha accertato che la violazione ha riguardato diverse categorie di dati, tra cui:

• dati del profilo utente: nome, cognome, email, telefono, e in alcuni casi codice fiscale e partita IVA;
• dati di mobilità: biglietti TPL, abbonamenti, validazioni, sosta, sharing, taxi, car pooling, telepedaggio;
• credenziali di autenticazione: username e password, conservate in alcuni casi sotto forma di digest MD5 o bcrypt2a;
• documenti d’identità e attestazioni ISEE, in particolare per il Consorzio UnicoCampania e Busitalia Veneto;
• altri dati sensibili in senso lato operativo, come dati relativi a minori e ai loro esercenti la responsabilità genitoriale.

Il Garante sottolinea la gravità della violazione in ragione della varietà dei dati, del numero elevatissimo di interessati coinvolti e della possibilità che le credenziali esfiltrate consentano accessi illeciti ad altri servizi online, specie per il fenomeno del riutilizzo delle password.

Valutazione del Garante sulla comunicazione agli interessati ex art. 34 GDPR

Per gli utenti finali di MooneyGo, il Garante ritiene che la violazione presenti un rischio elevato per i diritti e le libertà delle persone fisiche e che, quindi, fosse dovuta una comunicazione individuale o comunque efficace ai sensi dell’art. 34, par. 1 GDPR. La pubblicazione di un avviso sui siti web MooneyGo e myCicero viene considerata insufficiente perché non ha raggiunto adeguatamente gli interessati, che non sono normalmente soliti consultare tali siti, e perché conteneva informazioni non corrette o incomplete.

In particolare, la comunicazione non dava conto in modo adeguato dell’esfiltrazione delle password, forniva indicazioni fuorvianti sui rischi e non suggeriva misure concrete di autotutela, come l’uso di nuove password non simili a quelle compromesse. Il Garante richiama anche le linee guida EDPB sulla notifica dei data breach e i precedenti provvedimenti dell’Autorità in materia di credenziali violate.

Valutazione della comunicazione ai titolari committenti ex art. 33, par. 2 GDPR

Il Garante ritiene anche che le comunicazioni inviate da myCicero ai clienti committenti non siano state sufficientemente dettagliate e corrette. In più passaggi, infatti, le informazioni trasmesse omettevano le credenziali di autenticazione tra i dati violati, non rappresentavano adeguatamente le modalità di protezione delle password e, in alcuni casi, descrivevano in modo inesatto la conservazione di documenti d’identità e attestazioni ISEE.

Secondo l’Autorità, tali carenze impedivano ai titolari di valutare correttamente il rischio e di adempiere agli obblighi di notifica al Garante e di comunicazione agli interessati. Per questo viene ravvisata la violazione dell’art. 33, par. 2, GDPR.

Misure di sicurezza ex art. 32 GDPR

Sul piano della sicurezza, il Garante giudica inadeguate le misure adottate dopo l’incidente. myCicero aveva previsto, o stava valutando, un generico invito agli utenti a cambiare password e un meccanismo di modifica al primo accesso, ma l’Autorità ritiene che ciò non sia sufficiente a mitigare i rischi concreti derivanti dall’esfiltrazione delle credenziali.

Il provvedimento evidenzia che le password erano conservate, per una parte significativa degli utenti, in MD5 con salt comune e, per un’altra parte, in bcrypt2a con salt comune, soluzioni considerate non adeguate rispetto allo stato dell’arte. In caso di inerzia degli utenti, il Garante prescrive l’inibizione dell’uso delle credenziali compromesse per l’accesso ai servizi.

Ordini impartiti dal Garante

Il Garante ingiunge a myCicero di:

• comunicare senza ritardo e comunque entro 10 giorni la violazione agli utenti finali di MooneyGo, con contenuti chiari e canali multipli;
• comunicare senza ritardo e comunque entro 7 giorni la violazione ai clienti committenti coinvolti, con indicazione puntuale dei dati violati e delle misure di protezione adottate;
• adottare senza ritardo e comunque entro 20 giorni misure idonee ad attenuare i possibili effetti negativi della violazione, imponendo il cambio delle password e, in caso di inerzia, bloccandone l’utilizzo;
• fornire all’Autorità, entro 30 giorni, un riscontro documentato sull’attuazione di quanto ordinato.

Il provvedimento dispone anche l’annotazione nel registro interno dell’Autorità.

Profili sanzionatori e rimedi successivi

Il testo richiama l’art. 83, par. 6 GDPR in caso di inosservanza di ordini dell’Autorità, con sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. Tuttavia, nel provvedimento in esame non viene irrogata una sanzione pecuniaria: l’Autorità adotta un’ingiunzione correttiva e si riserva ogni ulteriore determinazione, anche sanzionatoria, all’esito dell’istruttoria ancora in corso.

Indicazioni operative per i professionisti

Il provvedimento è rilevante perché ribadisce che, in presenza di data breach che coinvolgono credenziali di autenticazione e dati di mobilità, non basta una comunicazione generica o pubblicata sul sito del titolare. Occorre invece una valutazione concreta del rischio, la corretta qualificazione dei ruoli privacy lungo la filiera, l’informazione tempestiva e completa dei titolari committenti e l’adozione di misure tecniche realmente efficaci, soprattutto quando i dati compromessi possono essere usati per ulteriori accessi illeciti o per correlazioni tra sistemi diversi.