Il Garante per la protezione dei dati personali ha sanzionato per 85mila euro The European House – Ambrosetti spa, società di consulenza strategica e think tank, per le carenze nelle misure di sicurezza adottate a tutela dei dati personali. Il provvedimento nasce da un data breach che ha coinvolto 61.670 persone, tra dipendenti di aziende clienti e personale interno che utilizzava i servizi online della società, e da una comunicazione della violazione agli interessati arrivata solo dopo l’intervento dell’Autorità.
L’attacco informatico, resosi possibile attraverso una vulnerabilità tecnica dei sistemi, ha permesso l’accesso non autorizzato e l’esfiltrazione di nomi, cognomi, indirizzi email, username e password degli utenti coinvolti. Gli accertamenti condotti dal Garante hanno fatto emergere diverse violazioni della normativa sulla protezione dei dati. Una parte delle password risultava infatti conservata in chiaro, mentre un’altra era protetta con tecniche crittografiche non conformi agli standard di sicurezza più aggiornati. La società conservava inoltre credenziali relative a sistemi ormai non più in uso, in violazione dei principi di limitazione della conservazione e di sicurezza dei dati previsti dal Regolamento europeo.
Se sul fronte della notifica all’Autorità la società ha rispettato il termine delle 72 ore previsto dalla normativa, non altrettanto è avvenuto per l’informativa agli interessati. Nonostante la violazione comportasse un rischio elevato per i diritti e le libertà delle persone coinvolte, la comunicazione è arrivata a circa due mesi dalla scoperta dell’incidente, e solo in seguito a un provvedimento correttivo del Garante.
Con la sanzione, l’Autorità ribadisce l’obbligo per i titolari del trattamento di adottare misure tecniche e organizzative adeguate e di gestire con tempestività e trasparenza ogni violazione dei dati personali. Le esigenze di tutela dell’immagine aziendale, sottolinea il Garante, non possono in alcun caso prevalere sui diritti delle persone i cui dati sono stati compromessi.