Prescrizioni del Garante n. 168 del 21/03/2024

Demofin S.r.l. - ordine di comunicazione della violazione ai sensi dell'art. 34 GDPR

Il Garante per la protezione dei dati personali interviene nei confronti di Demofin S.r.l. a seguito di una violazione dei dati personali comunicata il 26 gennaio 2024, e successivamente integrata il 2 febbraio 2024, riguardante un attacco ransomware subìto dal responsabile del trattamento Sefin S.p.A. L’attacco, avvenuto il 21 gennaio 2024, ha comportato la cifratura e l’esfiltrazione di dati e documenti contenuti in 5 dei 195 server gestiti dal responsabile.

Fatti e perimetro della violazione

Dalla documentazione acquisita emerge che la violazione ha riguardato diverse categorie di dati personali, tra cui:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o di posta elettronica, numeri di telefono;
• dati finanziari o creditizi: numero di conto corrente, dettagli della carta di credito, posizione debitoria;
• dati relativi a documenti di identificazione o riconoscimento: carta d’identità, passaporto, patente, CNS.

L’Ufficio rileva inoltre che siti internet specializzati nella pubblicazione di rivendicazioni di attacchi ransomware hanno dato notizia dell’esfiltrazione e della possibile diffusione online dei dati.

Valutazione del rischio e norme richiamate

La società ha dichiarato, con notifica integrativa del 2 febbraio 2024, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, e per tale ragione non ha effettuato la comunicazione agli interessati.

Il Garante richiama:

• gli artt. 33, 34 e 32 GDPR;
• i considerando 75, 76 e 86 GDPR;
• le Linee guida 9/2022 sulla notifica delle violazioni dei dati personali;
• le Linee guida 01/2021 su esempi riguardanti la notifica di una violazione dei dati personali.

L’Autorità osserva che, nella valutazione del rischio, devono essere considerati probabilità e gravità delle conseguenze per gli interessati. Nel caso concreto, la violazione presenta un rischio elevato per la natura dell’attacco, per le categorie di dati coinvolte e per la possibile persistenza degli effetti dannosi, tra cui furto di identità, divulgazione di informazioni patrimoniali e pregiudizio reputazionale. Incide inoltre il ruolo della società nel settore del credito, che richiede un elevato livello di responsabilizzazione e di trasparenza verso i clienti.

Obbligo di comunicazione agli interessati

Il Garante ritiene che non ricorrano le condizioni che esentano il titolare dalla comunicazione ex art. 34, par. 3, GDPR. In particolare, la società non ha dimostrato la sussistenza di uno sforzo sproporzionato tale da giustificare l’omissione della comunicazione diretta, né ha individuato il numero approssimativo degli interessati coinvolti.

L’Autorità richiama inoltre la giurisprudenza amministrativa e il precedente provvedimento n. 264 del 10 dicembre 2020, sottolineando che la comunicazione agli interessati costituisce misura necessaria per consentire loro di adottare le opportune cautele.

Ordine impartito dal Garante

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ingiunge a Demofin S.r.l. di comunicare la violazione agli interessati coinvolti e raggiungibili, senza ingiustificato ritardo e comunque entro 15 giorni dalla ricezione del provvedimento.

La comunicazione deve contenere almeno le informazioni previste dall’art. 34, par. 2, GDPR, e cioè:

• la natura della violazione;
• le possibili conseguenze;
• i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto;
• le misure adottate o da adottare per porre rimedio alla violazione e attenuarne gli effetti negativi.

Il Garante richiede che la comunicazione sia effettuata individualmente agli interessati, con priorità per quelli i cui dati, se diffusi illecitamente, comportano un rischio alto, in particolare i dati finanziari o creditizi e i documenti di identità. Per gli interessati esposti a un rischio inferiore ad alto, relativi a dati anagrafici e di contatto, è comunque richiesta la comunicazione individuale, salvo comprovata eccessiva onerosità; in tal caso è ammessa una comunicazione alternativa mediante avviso sul sito web per almeno due settimane e campagna social mirata.

Obblighi documentali e possibili conseguenze sanzionatorie

Demofin S.r.l. deve trasmettere al Garante, entro 30 giorni dalla ricezione del provvedimento, un riscontro adeguatamente documentato sulle iniziative adottate per dare esecuzione all’ordine.

Il provvedimento richiama il principio di responsabilizzazione e la necessità di documentare le scelte e le attività compiute. Viene inoltre ricordato che:

• l’inosservanza dell’ordine dell’Autorità è soggetta alle sanzioni amministrative pecuniarie di cui all’art. 83, par. 6, GDPR, fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo;
• il mancato riscontro alla richiesta del Garante è sanzionabile ai sensi degli artt. 83, par. 5, lett. e), GDPR e 166 Codice privacy.

Esito del provvedimento

Il Garante dispone anche l’annotazione del provvedimento nel registro interno delle violazioni e delle misure adottate. Resta espressamente salva ogni ulteriore determinazione, anche sanzionatoria, all’esito della definizione dell’istruttoria ancora in corso.