Ordinanza ingiunzione o revoca n. 351 del 03/08/2023

Onlinestore S.r.l. - ingiunzione per data breach, comunicazione agli interessati e misure di sicurezza

Il Garante per la protezione dei dati personali è intervenuto nei confronti di Onlinestore S.r.l., titolare del sito e-commerce www.onlinestore.it, a seguito della notifica di una violazione dei dati personali avvenuta nel marzo 2023. Il provvedimento conclude una valutazione su origine dell’evento, rischio per gli interessati, adeguatezza delle misure tecniche e organizzative e obblighi di comunicazione imposti dal GDPR.

Origine del procedimento e fatti essenziali

L’istruttoria trae origine dalla notifica di violazione trasmessa dalla società il 14 marzo 2023 e integrata con successive note del 18 aprile, 3 maggio, 19 maggio, 22 maggio e con risposta del 5 giugno 2023 a una richiesta dell’Ufficio. Dalle informazioni rese emerge che:

• l’11 marzo 2023 un cliente aveva segnalato la presenza nel dark web di un leak di dati;
• la società aveva poi accertato che la violazione derivava da un hack del CMS PrestaShop 1.7.6.5, con accesso al database ed esportazione/pubblicazione dei dati;
• il backup server interessato era collocato presso l’abitazione di un dipendente informatico, senza adeguato sistema di sicurezza;
• dopo la scoperta dell’evento, il server è stato disattivato.

Dati personali coinvolti

La violazione ha riguardato dati identificativi e di contatto degli utenti, oltre a informazioni sugli acquisti e sulle credenziali dell’account. In particolare, risultano coinvolti:

• nome e cognome;
• indirizzo completo, CAP e città;
• indirizzo email;
• data di nascita;
• storico ordini con prodotti acquistati;
• password criptata dell’account.

La società ha stimato un numero non determinabile di utenti coinvolti, per un totale di 284.000 registrazioni di dati personali. Nel corso degli accessi online svolti dall’Ufficio è emerso tuttavia che porzioni dei dati sottratti erano ancora reperibili in rete e che era possibile acquistare anche la parte restante del dataset, pari a 1,8 GB, contenente i dati personali di circa 900.000 utenti.

Valutazione del rischio e obbligo di comunicazione agli interessati

Onlinestore aveva ritenuto di non dover comunicare il data breach agli interessati, escludendo un rischio elevato. Il Garante ha invece valutato l’evento come ad alto rischio per i diritti e le libertà delle persone fisiche, facendo riferimento alle Linee guida sulla notifica delle violazioni dei dati personali e considerando:

• la natura e la numerosità dei dati violati;
• la perdita di riservatezza di domicili e recapiti, idonea a esporre gli interessati a danni materiali e immateriali anche significativi;
• la reperibilità online dello storico degli ordini, con possibili effetti pregiudizievoli sulla reputazione o di discriminazione;
• il fatto che alcuni prodotti commercializzati dal sito siano suscettibili di rivelare attitudini e preferenze sessuali degli acquirenti.

Alla luce dell’art. 34, par. 1, GDPR, e rilevato che non ricorrevano le ipotesi di esclusione del par. 3, il Garante ha affermato che il titolare era tenuto a comunicare la violazione agli interessati. Ai sensi dell’art. 34, par. 4, GDPR, ha quindi esercitato il potere di ingiungere tale comunicazione, imponendo che avvenga senza ingiustificato ritardo e comunque entro dieci giorni dalla ricezione del provvedimento.

Criticità in materia di sicurezza del trattamento

Sul versante dell’art. 32 GDPR, il Garante ha rilevato che al momento della violazione il trattamento avveniva con modalità non adeguatamente protette, in particolare:

• il backup server era collocato presso l’abitazione di un dipendente, senza adeguato sistema di sicurezza;
• veniva utilizzata una versione di PrestaShop affetta da vulnerabilità note sin dal 2 luglio 2020, data del rilascio di un aggiornamento di sicurezza;
• la società non ha fornito all’Ufficio un dettagliato riscontro sulle misure correttive e preventive adottate o programmate.

Il Garante ha quindi ordinato, ai sensi degli artt. 32 e 58, par. 2, lett. d), GDPR, l’adozione di misure di sicurezza adeguate ai rischi dei trattamenti svolti, includendo espressamente:

• la predisposizione di un programma di formazione del personale in materia di sicurezza informatica e protezione dei dati personali;
• l’adozione di software privi di vulnerabilità note;
• la periodica e tempestiva applicazione degli aggiornamenti di sicurezza resi disponibili dai produttori.

Obblighi di documentazione verso l’Autorità

In base agli artt. 58, par. 1, lett. a), GDPR e 157 del Codice privacy, il Garante ha richiesto alla società di trasmettere documentati riscontri:

• entro dieci giorni, con riferimento alla comunicazione agli interessati;
• entro venti giorni, con riferimento all’adozione delle misure di sicurezza prescritte.

Profili sanzionatori e impugnazione

Il provvedimento richiama l’art. 83, par. 6, GDPR, che prevede sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo in caso di inosservanza di un ordine dell’Autorità di cui all’art. 58, par. 2. Il Garante riserva inoltre a separato procedimento ogni ulteriore valutazione su eventuali profili sanzionatori connessi alla fattispecie.

È infine indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152, comma 1-bis, del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.