TL;DR per il DPO
Il 13 gennaio 2026 la CNIL ha sanzionato Free Mobile per 27M e Free SAS per 15M (totale 42M EUR) per un data breach del 2024 che ha esposto i dati di 24 milioni di abbonati. Le contestazioni: insufficienza delle misure tecniche (art. 32), comunicazione incompleta agli interessati (art. 34), retention eccessiva dei dati. Per i DPO italiani: la comunicazione data breach agli interessati richiede TUTTE le informazioni dell'art. 34(2), non puo' essere generica.
Cosa e' successo
Nell'ottobre 2024, un attaccante ha infiltrato il sistema informativo di Free Mobile e Free SAS, accedendo ai dati personali di circa 24 milioni di abbonati. I dati esposti includevano: nome, cognome, indirizzo, indirizzo email, numero di telefono, data di nascita, e per gli abbonati a entrambi i servizi anche l'IBAN.
La violazione e' stata oggetto di oltre 2.500 reclami da parte degli interessati alla CNIL. L'Autorita' ha avviato un'ispezione che ha rilevato violazioni del GDPR a carico di entrambe le societa', ciascuna in qualita' di titolare del trattamento per i propri abbonati.
Le violazioni contestate
La CNIL ha contestato tre profili distinti, ognuno rilevante per i DPO operativi:
- Violazione art. 32 GDPR: insufficienza delle misure tecniche e organizzative di sicurezza. Le password degli operatori non erano adeguatamente protette, mancavano controlli di accesso granulari sui sistemi che ospitavano dati sensibili
- Violazione art. 34 GDPR: la comunicazione agli interessati e' stata inviata via email, ma il contenuto non includeva tutte le informazioni richieste dal paragrafo 2 dell'articolo: natura della violazione, dati personali coinvolti, possibili conseguenze, misure adottate o proposte per mitigare gli effetti
- Violazione art. 5(1)(e) e art. 5(2) GDPR: conservazione eccessiva dei dati degli ex abbonati, oltre il periodo necessario per finalita' contabili. Free Mobile non aveva implementato procedure di purging automatico
Il punto critico per il DPO italiano
L'art. 34(2) GDPR specifica cosa DEVE contenere la comunicazione agli interessati: (a) descrizione in linguaggio semplice della natura della violazione, (b) nome del DPO, (c) descrizione delle probabili conseguenze, (d) descrizione delle misure adottate o proposte. La comunicazione che dice solo 'sono stati esposti i tuoi dati personali' non basta. La CNIL ha sanzionato proprio questa mancanza.
Confronto con casi UE simili
Il caso Free Mobile/Free e' parte di una tendenza UE piu' ampia di enforcement sulla sicurezza dei dati. Nell'arco di 6 mesi:
- Francia: Free Mobile + Free 42M EUR (13 gennaio 2026)
- Francia: France Travail 5M EUR (22 gennaio 2026) - violazione art. 32 su dati di 43 milioni di candidati
- Italia: Intesa Sanpaolo 31.8M EUR (26 marzo 2026) - data breach gestito in ritardo
- Irlanda: TikTok 530M EUR (1 maggio 2025) - trasferimento dati extra-UE
Il messaggio comune dei DPA europei: l'art. 32 GDPR non e' un suggerimento. La 'sicurezza appropriata al rischio' deve essere documentata, testata, e aggiornata. Non basta avere 'previsto' controlli che poi non sono stati implementati in produzione.
Cosa fare nei prossimi 30 giorni se sei DPO di azienda con grande volume dati clienti
- Audit delle credenziali di accesso ai sistemi critici: forza password, rotazione, MFA per accessi privilegiati
- Verifica della procedura di comunicazione data breach agli interessati: usa il template art. 34(2) come checklist (4 punti obbligatori)
- Test di un'esercitazione data breach simulata: cronometra dall'identificazione alla notifica completa
- Revisione della retention policy: i dati degli ex clienti vanno cancellati al termine del periodo necessario, non 'quando troviamo il tempo'
- Documenta l'audit trail di queste azioni: in caso di ispezione, l'accountability si dimostra con i log, non con le buone intenzioni
Le 4 informazioni che DEVI mettere nella comunicazione data breach agli interessati
Template art. 34(2) GDPR
(1) Descrizione della natura della violazione (es. 'accesso non autorizzato a una base dati contenente il tuo nome, indirizzo email, numero di telefono'). (2) Nome e contatto del DPO (es. 'dpo@nostraazienda.it'). (3) Descrizione delle probabili conseguenze (es. 'rischio di phishing, telemarketing aggressivo, possibile uso fraudolento dei dati'). (4) Descrizione delle misure adottate o proposte (es. 'abbiamo reset le password, attivato monitoraggio, e ti consigliamo di...').
In DPO Workspace
Nella sezione Data Breach del cliente, il modulo di comunicazione agli interessati e' strutturato sui 4 punti obbligatori dell'art. 34(2): non puoi inviare la comunicazione se mancano i campi. Cosi' eviti l'errore di Free Mobile.
Risorse aggiuntive
- Decisione CNIL Free Mobile (in francese, traduzione DeepL consigliata)
- Linee Guida EDPB 01/2021 su esempi di notifica data breach
- Provvedimento Garante n. 230/2021 su data breach in Italia
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
