TL;DR per il DPO
22 dicembre 2025: la CNIL multa Nexpublica (software house francese) per 1.700.000 EUR. Il suo software PCRM, usato dai servizi sociali (tra cui le strutture per persone con disabilita'), permetteva agli utenti di accedere a documenti personali altrui, inclusi dati che rivelano la disabilita' di una persona. Le vulnerabilita' erano gia' state individuate in audit interni ed esterni PRIMA della violazione, ma non erano state corrette. Sanzione ex art. 32 GDPR.
I fatti
Nel novembre 2022 alcuni utenti del portale PCRM segnalarono di poter accedere a documenti appartenenti ad altre persone. PCRM e' usato dai servizi sociali, comprese le strutture che assistono persone con disabilita', e tratta quindi dati altamente sensibili. La CNIL ha accertato che le misure tecniche e organizzative erano insufficienti: una debolezza generale del sistema informativo e vulnerabilita' strutturali persistenti nel tempo, molte derivanti dalla scarsa conoscenza dei principi base di cybersicurezza.
L'aggravante decisiva: diverse falle erano gia' state segnalate in report di audit interni ed esterni prima della violazione. Nonostante questo, l'azienda non le aveva corrette fino a dopo la scoperta degli incidenti.
Il punto: vulnerabilita' note e ignorate
Non e' stata la presenza di una falla a far scattare la sanzione, ma il fatto di conoscerla e non averla corretta. Per dati sanitari e sulla disabilita' (categorie particolari art. 9) la CNIL pretende un livello di sicurezza elevato. Un audit che individua un problema e resta lettera morta e', davanti all'Autorita', peggio di un audit mai fatto: dimostra consapevolezza del rischio senza azione.
Cosa significa per il DPO
- Per dati sanitari e categorie particolari il livello di sicurezza richiesto e' alto: il controllo degli accessi deve impedire che un utente veda dati di altri
- Gli esiti degli audit vanno tracciati con un piano di rimedio e scadenze: una falla nota senza remediation e' un'aggravante
- La responsabilita' ricade anche sul fornitore software (responsabile del trattamento ex art. 28), non solo sul titolare
- Verifica nei contratti con i fornitori che ci sia obbligo di correggere le vulnerabilita' note entro tempi definiti
Suggerimento operativo
Se un tuo cliente usa software gestionali che trattano dati sanitari (studi medici, poliambulatori, servizi sociali), chiedi al fornitore evidenza di: test di sicurezza periodici, registro delle vulnerabilita' con stato di correzione, e segregazione degli accessi tra utenti. Mettilo nero su bianco nell'accordo art. 28. E' esattamente il tipo di verifica che tutela il cliente e il DPO in caso di incidente.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
