Provvedimenti a carattere generale n. 61 del 13/02/2025

Avvertimento del Garante sull'uso del software spia "Graphite"

Il Garante per la protezione dei dati personali interviene con un avvertimento rivolto a chiunque utilizzi il software spia denominato "Graphite", prodotto da Paragon Solutions ltd, o sistemi analoghi, nonché a chi impieghi le informazioni così raccolte. Il provvedimento nasce da notizie stampa e da segnalazioni di cittadini relative a possibili infiltrazioni in dispositivi mobili e alla compromissione di dati personali, anche di operatori dell'informazione.

Contesto fattuale e segnalazioni ricevute

L'Autorità richiama informazioni giornalistiche secondo cui il software, una volta installato su sistemi o dispositivi di comunicazione elettronica, sarebbe in grado di copiare ogni dato contenuto nel dispositivo e di operare senza interazione della vittima. Il veicolo dell'infiltrazione sarebbe stato un file PDF inoltrato in gruppi WhatsApp. Il Garante dà atto anche degli alert inviati da WhatsApp Ireland ltd agli utenti potenzialmente interessati, nell'ambito di attività di prevenzione frodi e tutela della riservatezza, nonché delle doglianze presentate da alcuni cittadini all'Autorità.

Quadro normativo richiamato

Il provvedimento richiama il Regolamento (UE) 2016/679 e l'art. 122 del Codice privacy, che consente l'archiviazione di informazioni nell'apparecchio terminale di un contraente o di un utente, o l'accesso a informazioni già archiviate, solo previa espressione del consenso informato e con modalità semplificate, salvo le eccezioni tecniche limitate previste dalla stessa norma. Il Garante richiama anche la legge 3 agosto 2007, n. 124 sul sistema di informazione per la sicurezza della Repubblica e le disposizioni sulle intercettazioni contenute nel codice penale.

Valutazione dell'Autorità

Secondo il Garante, le intercettazioni di comunicazioni elettroniche, se non rientranti nelle finalità di sicurezza della Repubblica o di prevenzione, indagine, accertamento e perseguimento di reati, devono comunque rispettare la disciplina di protezione dei dati personali e, in particolare, le condizioni dell'art. 122 del Codice. Sulla base degli elementi noti, tali condizioni non sembrano ricorrere nel caso esaminato. Ne deriva che l'uso del software spia, o di sistemi di analoga specie, e l'utilizzo delle informazioni raccolte potrebbero integrare una violazione della normativa privacy.

Avvertimento ai sensi del GDPR e sanzioni

Il Garante adotta un avvertimento ai sensi dell'art. 58, par. 2, lett. a), GDPR e dell'art. 154, comma 1, del Codice, rivolto a tutti i soggetti che dovessero utilizzare il software "Graphite" o analoghi strumenti, oppure utilizzare i dati con essi raccolti. L'Autorità precisa che tali condotte verosimilmente violano l'art. 122 del Codice e che la violazione è sanzionabile, ai sensi dell'art. 166 del Codice, con una sanzione amministrativa pecuniaria fino a 20 milioni di euro.

Opposizione e ulteriori attività

Il provvedimento precisa che resta riservata ogni ulteriore attività volta a individuare gli autori delle condotte. Contro il provvedimento è ammessa opposizione dinanzi all'autorità giudiziaria ordinaria, con ricorso nei termini previsti dall'art. 10 del d.lgs. n. 150/2011, ai sensi dell'art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.