Prescrizioni del Garante n. 410 del 01/12/2022

Vorwerk Italia s.a.s. - data breach da furto di documentazione cartacea e obbligo di comunicazione agli interessati

Il Garante è intervenuto a seguito della notifica di una violazione dei dati personali trasmessa da Vorwerk Italia s.a.s. in relazione al furto di un plico contenente proposte d'ordine e assegni bancari. L'Autorità ha ritenuto che la violazione presentasse un rischio elevato per i diritti e le libertà delle persone coinvolte e ha ingiunto al titolare di effettuare la comunicazione agli interessati ai sensi dell'art. 34 GDPR.

Fatti e origine della violazione

Secondo la notifica del 23 settembre 2022, la violazione si è verificata il 19 settembre 2022 ed è stata scoperta dal titolare il 22 settembre 2022. L'evento è stato qualificato come perdita di riservatezza e disponibilità dei dati, derivante da un'azione intenzionale esterna consistente nel furto, da parte di ignoti, di un plico contenente n. 4 proposte d'ordine relative a prodotti Vorwerk, di cui due corredate da assegni rilasciati dai clienti. La documentazione cartacea era temporaneamente custodita da un incaricato alle vendite.

Dati personali coinvolti

La violazione ha riguardato circa 68 registrazioni riferite a quattro interessati. I dati esposti comprendevano, tra gli altri:

• dati anagrafici e di contatto;
• dati di accesso e di identificazione;
• dati di pagamento;
• dati relativi a documenti di riconoscimento;
• informazioni inerenti al prodotto acquistato, alle modalità di pagamento e di consegna;
• firma;
• titoli di credito, in particolare n. 2 assegni bancari.

Nel dettaglio, i documenti sottratti potevano contenere nome e cognome, telefono, indirizzo email, status di cliente, codice fiscale, codice destinatario, partita IVA, PEC, sesso, data e luogo di nascita, riferimento del documento identificativo, luogo e data di consegna del prodotto, descrizione del prodotto acquistato, modalità di pagamento e firma.

Valutazione del rischio

Nella notifica il titolare aveva considerato il potenziale impatto come di livello medio, sostenendo che le informazioni oggetto di data breach non consentissero di compiere direttamente azioni dispositive sui rapporti bancari né di desumere lo stato patrimoniale degli interessati, e che la sottrazione degli assegni non avrebbe comportato un maggiore esborso per i clienti.

Il Garante ha però richiamato i considerando 75 e 76 del GDPR e le Linee guida sulla notifica delle violazioni dei dati personali, sottolineando che nella valutazione occorre considerare natura, quantità e gravità dei dati violati. Alla luce di tali parametri, l'Autorità ha ritenuto che la violazione esponesse gli interessati a rischi elevati, tra cui furto o usurpazione di identità e possibili tentativi di truffa.

Valutazioni sul mancato avviso agli interessati

Poiché il titolare aveva escluso la comunicazione agli interessati, il Garante ha verificato la disciplina dell'art. 34 GDPR e ha escluso la sussistenza delle condizioni di esonero previste dal par. 3. Di conseguenza, ha affermato che, trattandosi di una violazione suscettibile di presentare un rischio elevato, la comunicazione agli interessati era dovuta senza ingiustificato ritardo.

Provvedimento ingiuntivo adottato

Ai sensi dell'art. 58, par. 2, lett. e), GDPR, il Garante ha ingiunto a Vorwerk Italia s.a.s. di comunicare la violazione agli interessati coinvolti senza ulteriore ritardo e comunque entro dieci giorni dalla ricezione del provvedimento. La comunicazione deve contenere almeno le informazioni previste dall'art. 34, par. 2, GDPR.

Inoltre, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 Codice privacy, il Garante ha ordinato al titolare di trasmettere entro 10 giorni dal completamento delle comunicazioni un riscontro adeguatamente documentato sulle iniziative intraprese e sulle eventuali ulteriori misure adottate per attenuare i possibili effetti pregiudizievoli della violazione.

Profili sanzionatori richiamati

Il provvedimento richiama l'art. 83, par. 6, GDPR, secondo cui l'inosservanza di un ordine dell'autorità di controllo adottato ai sensi dell'art. 58, par. 2, è soggetta a sanzioni amministrative pecuniarie fino a 20.000.000 di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. Viene inoltre ricordato che il mancato riscontro alla richiesta dell'Autorità è punito ai sensi del combinato disposto degli artt. 83, par. 5, lett. e), GDPR e 166 Codice privacy.

Tutela giurisdizionale

Il provvedimento indica la possibilità di proporre opposizione dinanzi all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, dell'art. 152, comma 1-bis, del Codice e dell'art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.