Prescrizioni del Garante n. 43 del 24/01/2024

Stadion s.r.l. – archiviazione per data breach sul sito web

Il Garante per la protezione dei dati personali ha adottato, quale autorità di controllo capofila, la decisione finale di archiviazione del procedimento nei confronti di Stadion s.r.l. in relazione a una violazione dei dati personali subita sul sito web della Società. Il procedimento riguarda un estrazione illecita di dati dagli utenti del portale stadionaste.it, con coinvolgimento di interessati in più Stati membri dell’Unione europea.

Origine del procedimento e quadro normativo

La vicenda è stata avviata a seguito della notifica di violazione presentata da Stadion s.r.l. il 27 febbraio 2021, relativa a un data breach verificatosi il giorno precedente, e della successiva notifica integrativa del 23 aprile 2021. Il Garante ha richiamato gli artt. 32, 33, 34, 56 e 60 del GDPR, nonché il Codice privacy e le Linee guida del Gruppo di lavoro Articolo 29 sulla notifica delle violazioni dei dati personali, come adottate dal Comitato europeo per la protezione dei dati.

Fatti accertati

La violazione è consistita nell’estrazione illecita, ad opera di ignoti, di dati personali contenuti nel database del sito web della Società. I dati oggetto di violazione riguardavano 2.905 interessati e comprendevano:

• nome e cognome;
• indirizzo;
• numero di telefono;
• indirizzo email;
• codice fiscale;
• tipo e numero di documento.

L’istruttoria ha chiarito che l’attacco è stato realizzato sfruttando una vulnerabilità del sito web riconducibile a una SQL Injection, che ha consentito all’aggressore di accedere al database delle utenze e di estrarre i dati ivi custoditi.

Profilo transfrontaliero e procedura IMI

Sebbene il sito fosse disponibile solo in lingua italiana, l’utenza risultava internazionale e includeva cittadini di diversi Stati membri dell’Unione europea. Per tale ragione il Garante ha attivato la procedura di cooperazione europea nel Sistema IMI ai sensi dell’art. 56 GDPR, in qualità di autorità di controllo capofila, essendo la sede legale del titolare in Italia. Nel procedimento si sono dichiarate autorità interessate 13 autorità di controllo di altri Paesi, tra cui Slovacchia, Germania, Francia, Polonia, Slovenia, Lussemburgo, Spagna, Ungheria, Lituania, Paesi Bassi, Austria e Portogallo.

Comunicazione agli interessati e misure adottate dal titolare

Il Garante ha dato atto che la Società ha comunicato la violazione agli interessati in data 2 marzo 2021, ai sensi dell’art. 34 GDPR. Inoltre, a seguito dei rilievi emersi, il titolare ha riferito di avere adottato ulteriori misure per adeguare la sicurezza del trattamento e prevenire nuovi eventi analoghi, tra cui:

• potenziamento del codice delle pagine del sito per evitare ulteriori vulnerabilità di tipo SQL Injection;
• adozione di tecniche crittografiche per la conservazione delle password;
• incremento della complessità delle password e aggiornamento periodico delle stesse;
• controllo regolare delle attività anomale sugli accessi al sito e sulle richieste dei dati.

Valutazione del Garante e decisione finale

All’esito dell’istruttoria, il Garante ha ritenuto che non vi fossero, allo stato, elementi per contestare l’inosservanza degli obblighi di notifica della violazione e di comunicazione agli interessati di cui agli artt. 33 e 34 GDPR. Il progetto di decisione finale di archiviazione, già approvato dal Collegio l’8 giugno 2023 e condiviso nel sistema IMI l’11 ottobre 2023, non ha ricevuto obiezioni motivate da parte delle autorità interessate entro il termine previsto.

In applicazione dell’art. 60, par. 7, GDPR, il Garante ha quindi adottato la decisione finale di archiviazione del procedimento nei confronti di Stadion s.r.l., con sede legale in Trieste, non ravvisando, allo stato, elementi di violazione del Regolamento.