Data breach nel portale di prenotazione: notifica, comunicazione e rapporti con il fornitore cloud
Il 6 giugno, alle 18:10 di un venerdì, un utente segnala al contact center INAIL che il portale di prenotazione delle visite fiscali restituisce, modificando un parametro dell'indirizzo, i dati di altri utenti. La verifica tecnica accerta che per 36 ore un bucket cloud mal configurato ha esposto 12.400 record: nome, codice fiscale, IBAN, indirizzo e la categoria della prestazione richiesta (in 3.800 casi «invalidità civile»). Il fornitore del servizio cloud ha sede in Irlanda e il contratto, firmato nel 2023, non contiene clausole sulla notifica degli incidenti al titolare. Il difetto è stato corretto alle 21:30 di venerdì. Lunedì mattina un giornalista chiede conferma dell'accaduto e copia della relazione tecnica. Il Direttore deve decidere in poche ore, con il DPO raggiungibile solo per telefono e l'ufficio legale in ferie.
1. Sussiste l'obbligo di notifica al Garante? Con quali contenuti e tempi?
Read the worked answer
Valutazione del rischio. La violazione riguarda dati identificativi e finanziari (IBAN) e, per 3.800 persone, l'informazione sull'invalidità civile, che è dato relativo alla salute ex art. 9 GDPR. Il rischio per diritti e libertà è elevato: potenziale phishing, frodi, stigmatizzazione. Quindi la notifica al Garante è dovuta ex art. 33 GDPR.
Tempi. Entro 72 ore dalla conoscenza effettiva. La conoscenza si è avuta venerdì alle 18:10: la scadenza cade lunedì alle 18:10. Se le informazioni non sono complete, si notifica per fasi, con successive integrazioni senza ingiustificato ritardo (art. 33, comma 4): meglio una notifica tempestiva e integrabile che una notifica tardiva e perfetta.
Contenuti (art. 33, comma 3). Natura della violazione; categorie e numero approssimativo di interessati e di record; contatti del DPO; probabili conseguenze; misure adottate e proposte per attenuare gli effetti. Va indicato che la causa è una configurazione errata del bucket, che l'esposizione è durata 36 ore ed è cessata.
Registro. Anche se la notifica non fosse dovuta, l'incidente andrebbe iscritto nel registro delle violazioni (art. 33, comma 5): è l'unico modo per dimostrare la responsabilizzazione.
Coordinamento. Verificare se l'incidente ricade anche in obblighi di notifica a CSIRT o autorità settoriali; informare l'RPD e il vertice, non l'ufficio stampa. Il giornalista non va confermato «a voce»: la comunicazione esterna va gestita dopo la notifica e con testo unico.
2. Va effettuata la comunicazione agli interessati? Con quali cautele?
Read the worked answer
Obbligo. La comunicazione ex art. 34 GDPR è dovuta quando la violazione comporta un rischio elevato: qui sussiste, per la combinazione di IBAN, codice fiscale e informazione sull'invalidità. Non ricorrono le esenzioni: i dati non erano cifrati, non vi è prova che il rischio sia stato neutralizzato, la comunicazione pubblica non sostituisce quella individuale.
Contenuti. Descrizione della violazione in linguaggio semplice; contatti del DPO; conseguenze probabili; misure adottate; raccomandazioni operative (attenzione a comunicazioni che chiedono credenziali o pagamenti, verifica dei movimenti, canali di segnalazione).
Cautele specifiche. Per le persone con invalidità civile, evitare comunicazioni che espongano la condizione a terzi (buste intestate, SMS con dettagli): privilegiare il canale riservato dell'area personale e l'email già registrata, con oggetto neutro. Non inserire nella comunicazione dati eccedenti né l'elenco dei soggetti coinvolti.
Tempi. Senza ingiustificato ritardo, in parallelo alla notifica al Garante: non si attende l'esito della notifica. Se i contatti non sono tutti disponibili, comunicazione individuale dove possibile e pubblicazione sul sito per la restante parte, motivando.
Rapporto con la stampa. La notizia è già potenzialmente pubblica: preparare una nota con i fatti accertati, senza minimizzare e senza confermare dettagli non verificati. La trasparenza è un elemento di attenuazione del rischio reputazionale e un indizio di accountability.
3. Quali azioni verso il fornitore cloud e quali misure tecniche e organizzative vanno attivate?
Read the worked answer
Verso il fornitore. Il fornitore è responsabile del trattamento ex art. 28 GDPR e deve notificare al titolare senza ingiustificato ritardo; la clausola mancante nel contratto del 2023 è una violazione contrattuale e un elemento di responsabilità. Richiedere formalmente incident report, log, misure correttive e piano di remediation con tempi; verificare il trasferimento dei dati fuori dall'UE (art. 44 ss.) e le garanzie; contestare l'inadempimento e valutare penali e sostituzione del fornitore in caso di mancata cooperazione.
Misure tecniche immediate. Revoca e rotazione delle credenziali esposte, cifratura dei dati a riposo, controllo degli accessi least privilege, verifica sistematica delle configurazioni degli storage (regola «private by default»), scansione dell'esposizione, monitoraggio degli accessi anomali, conservazione dei log per il periodo necessario alla sicurezza.
Misure organizzative. Aggiornare il registro dei trattamenti e la valutazione d'impatto (art. 35) per il trattamento su larga scala di dati sanitari; riesaminare il piano di continuità e la procedura di gestione degli incidenti; formazione del personale e dei fornitori; definizione di un canale unico di segnalazione interna degli incidenti con tempi di escalation.
Catena di responsabilità. Il Direttore non è il DPO e non può sostituirsi a lui: deve attivare il DPO, mettere per iscritto le decisioni, conservare la documentazione e riferire al vertice. In sede di controllo, ciò che conta è la sequenza documentata: conoscenza, valutazione, notifica, comunicazione, remediation.