In breve
Dati fiscali e catastali estratti; password no. Il ministero ha notificato alla CNIL e informerà una per una le persone interessate. La CNIL non chiede reclami individuali e verificherà se le misure di sicurezza erano conformi allo stato dell'arte: le sanzioni possono colpire tanto il titolare quanto il responsabile.
Che cosa è uscito
- Dati fiscali: reddito fiscale di riferimento, quoziente familiare, aliquota del prelievo alla fonte, numero SIREN e ragione sociale delle imprese.
- Dati catastali: indirizzi e superfici degli immobili.
- Identificativi e password non risulterebbero coinvolti.
L'ultima riga è quella che di solito rassicura, e qui invece è il problema. Senza credenziali nessuno entra nell'area riservata di nessuno; con reddito, quoziente familiare, aliquota e indirizzo dell'immobile si scrive un messaggio che sa di una persona più di quanto sappia la sua banca. È materiale da phishing di qualità, e la CNIL lo dice apertamente fra le raccomandazioni: diffidare di qualunque richiesta «urgente» per posta o telefono costruita su quelle informazioni.
La frase che riguarda chi fa il DPO
«La CNIL può condurre accertamenti documentali o in loco per verificare, in particolare, se le misure di sicurezza in essere sono conformi allo stato dell'arte della sicurezza informatica.» Non «se esisteva una procedura», non «se c'era un DPO»: se le misure erano allo stato dell'arte al momento dei fatti.
È il metro dell'art. 32, e si dimostra con date. Un elenco di misure senza la data in cui sono state adottate e senza il documento che le prova non regge a quell'accertamento: nessuno riesce a stabilire a posteriori che cosa fosse in vigore ad agosto e che cosa sia stato aggiunto a settembre.
La CNIL aggiunge che l'eventuale sanzione può colpire i titolari <strong>e i responsabili</strong> del trattamento. Chi fornisce servizi a un'amministrazione non è al riparo perché il nome sui giornali è quello del committente.
Niente reclami individuali
La CNIL è già investita della violazione e chiede di non inviarle reclami individuali sul caso, salvo che si disponga di elementi specifici utili alle indagini in corso. È una precisazione pratica che vale la pena di girare a un cliente prima che spenda tempo a preparare un reclamo che verrà accantonato.
Le tre domande da fare oggi ai clienti
1) Se ci arrivasse una richiesta con dati fiscali corretti, come la verifichiamo? Un canale di richiamo definito prima vale più di qualunque formazione fatta dopo. 2) Le nostre misure dell'art. 32 hanno una data e un documento che le prova, o sono un elenco? 3) Siamo responsabili del trattamento per qualche amministrazione: sappiamo che l'accertamento può arrivare anche a noi?
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
