Ordinanza ingiunzione o revoca n. 280 del 17/04/2026

The European House - Ambrosetti S.p.A. - data breach, conservazione non sicura delle password e tardiva comunicazione agli interessati

Il provvedimento riguarda The European House - Ambrosetti S.p.A., destinataria di un'ordinanza ingiunzione per la gestione di una violazione dei dati personali che ha coinvolto credenziali di autenticazione e altri dati identificativi di numerosi utenti dei propri servizi online. L'istruttoria origina dalla notifica preliminare di data breach presentata il 8 aprile 2024 ai sensi dell'art. 33 GDPR e si conclude con l'accertamento di più violazioni della disciplina privacy e con l'irrogazione di una sanzione pecuniaria.

Origine della violazione e attività istruttoria

La Società ha comunicato all'Autorità un'esfiltrazione di dati conseguente a un accesso non autorizzato da parte di un attaccante. L'evento ha riguardato dati anagrafici e di contatto, nonché username e password degli interessati. Nel corso dell'istruttoria, l'Ufficio ha richiesto più volte chiarimenti e documentazione, anche per verificare l'effettiva estensione della violazione, le modalità di conservazione delle credenziali e la valutazione del rischio effettuata dal titolare.

La Società ha inizialmente sostenuto che il data breach non fosse suscettibile di presentare un rischio elevato e che non fosse quindi necessaria la comunicazione agli interessati. Ha anche rappresentato di aver avviato accertamenti tecnici, di aver coinvolto un team multidisciplinare e di aver adottato misure immediate, tra cui il blocco o la reimpostazione delle password.

Valutazione del rischio e obbligo di comunicazione ex art. 34 GDPR

Il Garante ha invece ritenuto che la violazione fosse idonea a presentare un rischio elevato per i diritti e le libertà delle persone fisiche, con conseguente obbligo di comunicazione agli interessati ai sensi dell'art. 34 GDPR. La valutazione è stata fondata su diversi elementi:

• natura dell'evento, riconducibile a un attacco informatico finalizzato all'acquisizione di credenziali;
• presenza, tra i dati violati, di username, password, nome, cognome e indirizzo e-mail;
• numero elevato di interessati coinvolti;
• facilità di identificazione degli interessati;
• possibilità che le credenziali fossero riutilizzate su altri servizi online;
• basso livello di protezione delle password conservate.

Con provvedimento n. 327 del 23 maggio 2024, il Garante ha quindi ingiunto alla Società di comunicare la violazione agli utenti le cui password erano conservate in chiaro o con tecniche crittografiche non allo stato dell'arte, descrivendo natura, possibili conseguenze e misure di autotutela.

Conservazione delle password e violazione dei principi di sicurezza e limitazione della conservazione

L'istruttoria ha accertato che circa 98.000 password erano conservate mediante hashing MD5, non sempre con salt, mentre circa 36.000 erano conservate in chiaro. L'Autorità ha richiamato le linee guida in materia di conservazione delle password adottate con il provvedimento n. 594 del 7 dicembre 2023, evidenziando che l'uso di semplici funzioni di hash crittografico, soprattutto se obsolete come MD5, non garantisce un livello di sicurezza adeguato.

Inoltre, alcune credenziali risultavano riferite a sistemi non più in uso: l'applicazione ".aggiornamentoconoscenza.it" era stata dismessa nel marzo 2020, mentre altri sistemi avevano subìto aggiornamenti tra febbraio 2020 e ottobre 2022. Il Garante ha quindi ravvisato la violazione:

• dell'art. 5, par. 1, lett. e), GDPR, per conservazione oltre il tempo necessario;
• dell'art. 5, par. 1, lett. f), GDPR, per difetto di integrità e riservatezza;
• dell'art. 32 GDPR, per mancata adozione di misure tecniche e organizzative adeguate.

L'Autorità ha anche osservato che, quale titolare del trattamento, la Società non poteva addossare ai fornitori esterni la responsabilità della sicurezza applicativa, dovendo verificare le garanzie offerte dai soggetti coinvolti nel trattamento.

Tardiva comunicazione agli interessati e rilievi del Garante

Solo dopo il provvedimento correttivo la Società ha comunicato il data breach agli interessati. In particolare:

• il 7 giugno 2024 ha inviato comunicazioni dirette a 54.917 interessati di cui disponeva l'indirizzo e-mail;
• per i restanti 12.709 interessati ha attivato canali pubblici, tra cui pagina web dedicata, comunicati stampa, social network, testate giornalistiche e comunicazioni alle società clienti perché dessero diffusione interna.

Il Garante ha considerato tali comunicazioni tardive rispetto al momento in cui la Società aveva appreso la violazione, richiamando il 4 aprile 2024 come data di conoscenza dell'evento. Le motivazioni addotte dalla Società, comprese le preoccupazioni reputazionali e il contesto organizzativo e societario del periodo, sono state ritenute irrilevanti ai fini dell'adempimento dell'art. 34 GDPR. L'Autorità ha inoltre sottolineato che la protezione dei dati degli interessati non può essere subordinata a considerazioni di immagine aziendale.

Esito del procedimento e sanzione

All'esito del procedimento, il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. e) e f), 32 e 34 GDPR. La violazione non è stata considerata minore, in ragione della pluralità delle norme violate e della rilevanza dei principi coinvolti.

Ai fini sanzionatori, l'Autorità ha applicato i criteri dell'art. 83 GDPR e le Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, valutando:

• gravità media della violazione;
• durata della condotta illecita;
• numero di interessati coinvolti (61.670);
• condotta negligente del titolare;
• assenza di precedenti pertinenti;
• cooperazione con l'Autorità;
• condizioni economiche della Società.

È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 85.000. Il provvedimento dispone inoltre la pubblicazione dell'ordinanza ingiunzione sul sito del Garante e l'annotazione nel registro interno dell'Autorità. Contro il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di legge.