TL;DR
Con decisione del 28 luglio 2026, pubblicata dall'EDPB l'8 ottobre, l'Autorità greca per la protezione dei dati ha sanzionato con 200.000 euro il Ministero della Coesione sociale e della Famiglia (titolare) e con 150.000 euro la E.E.T.A.A. S.A., agenzia per lo sviluppo locale che ne gestiva i sistemi (responsabile). Il Ministero aveva notificato la violazione e avvisato gli interessati correttamente; la sanzione riguarda la sicurezza dei sistemi e il rapporto titolare-responsabile. Articoli: 25, 28, 32, 33 e 34 GDPR.
Che cosa è successo
Un attacco informatico su larga scala ha colpito i sistemi della E.E.T.A.A., usati per attuare i programmi del Ministero. Le banche dati contenevano dati di moltissime persone: identificativi e di contatto, dati finanziari e dati sanitari.
Che cosa ha accertato l'Autorità
- NOTIFICA CORRETTA. Il Ministero, come titolare, ha rispettato gli obblighi di notifica all'Autorità e di comunicazione agli interessati (artt. 33 e 34).
- SISTEMI SUPERATI. Il successo dell'attacco è legato al fatto che la E.E.T.A.A. continuava a usare sistemi informativi obsoleti e misure di sicurezza inadeguate, pur conoscendo i rischi (art. 32).
- RAPPORTO NON REGOLATO. Mancanze nel rispetto dell'art. 28: il rapporto tra titolare e responsabile non era disciplinato come richiede il GDPR.
- SANZIONI A ENTRAMBI. 200.000 euro al Ministero e 150.000 euro alla E.E.T.A.A., con l'ordine di firmare un accordo art. 28 e di completare le misure di sicurezza pianificate.
Notificare bene non salva il titolare
La gestione della violazione era stata corretta, eppure il titolare paga. Il motivo è a monte: l'art. 28 chiede di affidarsi solo a responsabili che presentano garanzie sufficienti e di regolare il rapporto per iscritto. Un fornitore su sistemi obsoleti, senza un contratto che lo vincoli, è un rischio del titolare prima ancora che del fornitore.
Che cosa vuol dire per il DPO
Quattro controlli
Uno: per ogni fornitore che tratta dati per conto del cliente, un contratto art. 28 firmato, anche quando il fornitore è un ente pubblico o una società partecipata. Due: nel contratto, misure di sicurezza minime e il diritto di verificarle, compreso l'aggiornamento dei sistemi. Tre: una verifica periodica documentata dei fornitori che trattano dati sanitari o finanziari. Quattro: se il fornitore conosce un rischio e non lo risolve, il titolare deve saperlo e decidere: è il momento di un parere scritto del DPO.
Il caso è utile anche per un altro motivo: dimostra che le autorità sanzionano direttamente il responsabile del trattamento quando la causa della violazione è sua. Il responsabile non è un soggetto «coperto» dal titolare: ha obblighi propri di sicurezza e ne risponde.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
