TL;DR per il DPO
Il Garante ha multato The European House - Ambrosetti per 85.000 EUR per un data breach che ha coinvolto 61.670 persone (dipendenti di aziende clienti e personale interno). Due i rilievi chiave: 1) parte delle password era conservata in chiaro e un'altra parte con tecniche crittografiche non allineate agli standard piu' avanzati (art. 32); 2) pur avendo notificato al Garante entro 72 ore, la societa' ha avvisato gli interessati solo dopo circa due mesi, e solo dopo un provvedimento correttivo, nonostante il rischio elevato (art. 34).
I tre punti che contano
- Notificare al Garante NON basta: l'art. 33 (72 ore all'autorita') e l'art. 34 (comunicazione agli interessati in caso di rischio elevato) sono due obblighi distinti. Qui il primo era stato rispettato, il secondo no.
- Password in chiaro = misure inadeguate: conservare credenziali in chiaro o con crittografia debole e' una violazione diretta dell'art. 32. L'hashing robusto delle password non e' un optional.
- Tempestivita' e trasparenza: avvisare gli interessati con due mesi di ritardo li ha privati della possibilita' di difendersi (es. cambiare le password compromesse). Il ritardo e' stato considerato un'aggravante.
Cosa fare adesso, in pratica
Per ogni cliente: 1) verifica COME sono conservate le password (devono essere sottoposte ad hashing con algoritmi robusti, mai in chiaro); 2) prepara in anticipo una procedura di incident response che distingua nettamente la notifica all'autorita' (72h, art. 33) dalla comunicazione agli interessati (art. 34) e definisca CHI decide e CON QUALE tempistica; 3) tieni pronti modelli di comunicazione agli interessati, cosi' che in caso di rischio elevato si agisca in ore, non in mesi. Il modulo Data Breach con timer 72h serve esattamente a questo.
Perche' conta per i tuoi clienti
Il valore della sanzione e' modesto, ma il provvedimento e' destinato a fare scuola perche' colpisce errori comunissimi: password mal gestite e una comunicazione agli interessati lenta e reattiva invece che pianificata. Per un DPO e' l'occasione per fare due verifiche concrete sui clienti - come sono protette le credenziali e quanto e' pronta la procedura di data breach - prima che a porre la domanda sia un'autorita'.
Fonte ufficiale:Garante Privacy - Newsletter n. 547 del 21 maggio 2026 (sanzione The European House - Ambrosetti)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
