Prescrizioni del Garante n. 293 del 09/05/2024

Visura S.p.A. - data breach nei sistemi PEC e nei portali degli ordini professionali

Il provvedimento riguarda Visura S.p.A., quale responsabile del trattamento per conto di InfoCert e di diversi ordini professionali, oltre che quale titolare per il sistema SAINT. L’istruttoria origina da un attacco informatico verificatosi nel maggio 2019, con esfiltrazione e diffusione online di dati personali, credenziali di autenticazione e, in alcuni casi, contenuti di caselle PEC.

Origine del procedimento e perimetro dei trattamenti coinvolti

L’Autorità ha avviato numerosi accertamenti ispettivi per ricostruire ruoli, trattamenti e responsabilità connessi all’incidente. I sistemi e i servizi interessati riguardavano, tra gli altri:

• il sistema di automazione interna SAINT;
• il servizio PEC per iscritti a ordini professionali;
• i portali istituzionali degli ordini degli avvocati di Caltagirone, Matera, Piacenza e Roma;
• il sistema gestionale dell’albo dell’Ordine degli avvocati di Ancona.

Caratteristiche della violazione dei dati personali

L’attacco è stato descritto come una SQL injection contro un web server esposto in rete pubblica, culminata il 3 maggio 2019, con accessi non autorizzati a un database server e successiva pubblicazione online di parte dei dati sottratti. Tra i dati diffusi figuravano:

• credenziali di autenticazione di utenti e amministratori dei portali;
• dati anagrafici e di contatto di avvocati, praticanti e altri interessati;
• credenziali e dati PEC di migliaia di iscritti;
• in alcuni casi, i messaggi contenuti in caselle PEC.

Ruoli privacy di Visura

Dall’istruttoria emerge che Visura operava in più qualità:

• come titolare del trattamento per il sistema SAINT;
• come responsabile del trattamento per InfoCert nel servizio PEC;
• come responsabile del trattamento per vari ordini professionali nella gestione di portali, albi e registri.

Criticità nella sicurezza del trattamento

Il Garante ritiene accertata la violazione del principio di integrità e riservatezza e dell’art. 32 GDPR per una pluralità di carenze:

• uso di software di base obsoleti, privi di aggiornamenti di sicurezza da anni;
• assenza di adeguate misure di sicurezza applicativa e di test periodici di vulnerabilità;
• conservazione in chiaro di numerose password nel database;
• mancata adozione di una password policy per utenze tecniche e amministrative;
• mancata imposizione della modifica delle password al primo utilizzo o periodicamente;
• assenza di meccanismi di blocco automatico delle utenze;
• utilizzo del protocollo http per funzionalità di gestione e recupero credenziali;
• rilascio delle credenziali PEC mediante una procedura di autenticazione non sufficientemente affidabile.

Dettaglio delle violazioni per i portali degli ordini professionali

Per i portali di Caltagirone, Matera e Piacenza, il Garante rileva la presenza nei database di dati anagrafici, di contatto e credenziali di amministratori e utenti dell’area riservata, tutte password memorizzate in chiaro. Per Roma, il vecchio portale conteneva un patrimonio informativo molto più esteso, inclusi dati di decine di migliaia di avvocati e praticanti, informazioni curriculari, prenotazioni eventi, segnalazioni, credenziali di amministrazione e credenziali PEC di prima attivazione. Per Ancona, la violazione ha riguardato dati relativi all’albo e all’iscrizione, inclusi anche dati di contatto non pubblicati.

Comunicazione della violazione ai titolari del trattamento

L’Autorità censura Visura per non aver informato senza ingiustificato ritardo i titolari del trattamento, come richiesto dall’art. 33, par. 2, GDPR. Le informative inviate ai singoli ordini sono ritenute tardive e comunque insufficienti, perché non indicavano in modo adeguato:

• le circostanze concrete della violazione;
• la natura e la portata dei dati coinvolti;
• il numero degli interessati;
• l’esistenza di password memorizzate in chiaro;
• per il caso di Ancona, la presenza di ulteriori dati di contatto non pubblici.

Valutazioni del Garante e assenza di ulteriori misure correttive

Il Garante sottolinea che, nonostante alcune comunicazioni informali immediate e la successiva collaborazione di Visura, gli obblighi informativi verso i titolari non risultavano adempiuti in modo tempestivo e completo. Tuttavia, poiché la condotta ha esaurito i suoi effetti, le misure correttive sono state già adottate e il caso è ritenuto, per questo specifico profilo, una "violazione minore" ai sensi del considerando 148 GDPR, non vengono disposte ulteriori misure correttive.

Esito finale

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato da Visura per violazione degli artt. 5, par. 1, lett. f), 32 e 33, par. 2, GDPR;
• ammonisce Visura S.p.A., quale responsabile del trattamento, per la violazione dell’art. 33, par. 2, GDPR, ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• dispone l’annotazione nel registro interno dell’Autorità.

Il provvedimento richiama, inoltre, il termine per l’impugnazione dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.