Prescrizioni del Garante n. 169 del 21/03/2024

Fedluc S.r.l. - ordine di comunicazione agli interessati a seguito di data breach con esfiltrazione

Il provvedimento riguarda Fedluc S.r.l., titolare del trattamento, nell’ambito di una violazione dei dati personali verificatasi presso il responsabile del trattamento Sefin S.p.A. a seguito di un attacco ransomware con cifratura ed esfiltrazione di dati da alcuni server. L’Autorità interviene ai sensi dell’art. 34 GDPR, ritenendo necessario imporre la comunicazione della violazione agli interessati coinvolti.

Fatti e origine della notifica

Il Garante viene informato tramite notifica di violazione del 26 gennaio 2024, poi integrata il 2 febbraio 2024. La violazione si colloca al 21 gennaio 2024 e riguarda un attacco hacker subito da Sefin S.p.A., che ha comportato la cifratura e la successiva esfiltrazione di dati e documenti presenti in 5 dei 195 server gestiti. I dati coinvolti comprendono:

• dati anagrafici: nome, cognome, sesso, data e luogo di nascita, codice fiscale;
• dati di contatto: indirizzo postale o e-mail, numero di telefono;
• dati finanziari o creditizi: numero di conto corrente, dettagli carta di credito, posizione debitoria;
• dati di identificazione/riconoscimento: carta di identità, passaporto, patente, CNS.

L’Ufficio rileva anche la pubblicazione online di rivendicazioni dell’attacco su siti dedicati al ransomware, con indicazione dell’avvenuta esfiltrazione e della possibile diffusione dei dati.

Valutazione del rischio

Fedluc S.r.l. aveva dichiarato, nella notifica integrativa, di ritenere che la violazione non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche e, per tale ragione, di non aver informato gli interessati. Il Garante non condivide tale valutazione.

L’Autorità richiama i considerando 75 e 76 GDPR e i criteri indicati nelle Linee guida 9/2022 sulla notifica delle violazioni, che impongono di considerare:

• tipo di violazione;
• natura, sensibilità e volume dei dati;
• facilità di identificazione degli interessati;
• gravità delle possibili conseguenze;
• caratteristiche degli interessati;
• caratteristiche del titolare;
• numero di interessati coinvolti.

Alla luce della natura dell’attacco ransomware con esfiltrazione, delle categorie di dati compromesse e delle possibili conseguenze, il Garante ritiene sussistente un rischio elevato, anche in ragione del ruolo del titolare nel settore del credito, che esige un elevato grado di affidabilità e trasparenza.

Obbligo di comunicazione agli interessati ex art. 34 GDPR

Il provvedimento applica l’art. 34, par. 1, GDPR, secondo cui, quando la violazione presenta un rischio elevato, il titolare deve comunicare la violazione all’interessato senza ingiustificato ritardo, salvo le eccezioni del par. 3, ritenute non pertinenti nel caso concreto.

Il Garante richiama anche:

• le Linee guida 9/2022 sulla notifica;
• le Linee guida 01/2021 sui casi di violazione;
• le Linee guida sulla trasparenza del Gruppo di Lavoro Articolo 29.

In particolare, viene evidenziato che nei ransomware con esfiltrazione la comunicazione agli interessati è una buona pratica e una misura di mitigazione, poiché la violazione colpisce non solo la disponibilità ma anche la riservatezza dei dati; inoltre, la compresenza di dati finanziari e documenti di identità aumenta il rischio di furto di identità e di ulteriori pregiudizi.

Prescrizione impartita e contenuto della comunicazione

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ingiunge a Fedluc S.r.l. di comunicare la violazione a tutti gli interessati coinvolti e raggiungibili, senza ritardo e comunque entro 15 giorni dalla ricezione del provvedimento.

La comunicazione deve contenere almeno le informazioni di cui all’art. 34, par. 2, GDPR, e in particolare:

• la natura della violazione;
• le possibili conseguenze;
• i recapiti del DPO o di altro punto di contatto;
• le misure adottate o da adottare per porre rimedio e attenuare gli effetti negativi.

Il Garante richiede che la comunicazione sia individuale, soprattutto per gli interessati i cui dati finanziari o i documenti di identità siano stati coinvolti, poiché tali dati sono idonei a determinare un rischio alto se diffusi illecitamente.

Gestione differenziata degli interessati e onerosità sproporzionata

Per gli interessati collegati a dati anagrafici e di contatto, il provvedimento prevede parimenti una comunicazione individuale, salvo il caso di comprovata eccessiva onerosità. In tale ipotesi, la comunicazione può essere sostituita da:

• un avviso pubblicato sul sito web del titolare per almeno due settimane;
• una campagna social mirata.

Le scelte compiute e le attività conseguenti devono essere adeguatamente documentate in base al principio di accountability.

Riscontro al Garante, registro interno e profili sanzionatori

Fedluc S.r.l. deve trasmettere all’Autorità, entro 30 giorni dalla ricezione del provvedimento, un riscontro documentato sulle iniziative adottate per adempiere all’ordine.

Il Garante richiama inoltre:

• l’art. 83, par. 6, GDPR, per l’inosservanza di un ordine impartito dall’Autorità di controllo;
• l’art. 83, par. 5, lett. e), GDPR e l’art. 166 del Codice privacy, per il mancato riscontro alla richiesta dell’Autorità.

Viene infine disposta l’annotazione del provvedimento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), GDPR. Resta salva ogni ulteriore determinazione, anche sanzionatoria, all’esito della definizione dell’istruttoria ancora in corso.