TL;DR per il DPO
22 gennaio 2026: la CNIL francese multa France Travail (l'agenzia pubblica per l'impiego, ex Pole Emploi) per 5.000.000 EUR. Un attacco di social engineering nel primo trimestre 2024 ha compromesso gli account dei consulenti Cap Emploi (che assistono persone con disabilita') ed esposto i dati di circa 36,8 milioni di persone registrate negli ultimi 20 anni: numeri di previdenza sociale, indirizzi email e postali, telefoni. La sanzione e' per violazione dell'art. 32 GDPR (sicurezza), non per l'attacco in se'.
I fatti
Nel primo trimestre 2024 uno o piu' attaccanti sono penetrati nel sistema informativo di France Travail. Non sfruttando una vulnerabilita' tecnica, ma con tecniche di social engineering: hanno ingannato gli operatori di Cap Emploi (organizzazioni partner che seguono l'inserimento lavorativo delle persone con disabilita') e ne hanno dirottato gli account. Da li' hanno avuto accesso ai dati di tutte le persone registrate, o registrate negli ultimi 20 anni, e di chi aveva un profilo candidato sul portale.
La CNIL ha rilevato che le misure tecniche e organizzative in essere non riducevano sufficientemente il rischio di accesso non autorizzato tramite account compromessi: in particolare il metodo di autenticazione dei consulenti Cap Emploi non era abbastanza robusto, e i permessi di accesso erano definiti in modo troppo ampio.
Il punto: e' un'obbligazione di mezzi
La CNIL ha ribadito che l'art. 32 e' un'obbligazione di mezzi: servono misure DIMOSTRABILI e proporzionate al rischio. 'Avevamo dei piani' o 'avevamo individuato dei controlli' non e' una difesa se quei controlli non erano effettivamente attivi in produzione. La sanzione per un ente pubblico non si calcola sul fatturato: il massimo per violazione di sicurezza e' 10 milioni di euro.
Cosa significa per il DPO
- Il social engineering e' il vettore d'attacco dominante: la formazione del personale e l'autenticazione forte (MFA) non sono opzionali
- I permessi vanno dati col principio del minimo privilegio: un operatore non deve poter vedere dati di interessati che non gestisce
- Logging e monitoraggio: senza log completi e correlati, l'attaccante opera piu' a lungo e esfiltra di piu'
- L'art. 32 si dimostra con evidenze: policy attive, configurazioni reali, audit periodici - non con documenti tenuti nel cassetto
- Vale per chiunque tratti dati su larga scala, e a maggior ragione per la PA e per i dati di categorie particolari
Suggerimento operativo
Per i tuoi clienti, verifica concretamente: c'e' la MFA su tutti gli accessi che toccano dati personali? I permessi sono profilati per ruolo? Esiste un piano di formazione anti-phishing tracciato? I log sono attivi e qualcuno li guarda? Documenta queste verifiche: in caso di ispezione, l'evidenza dell'implementazione e' cio' che fa la differenza tra una difesa e una sanzione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
