TL;DR
Il 22 settembre 2026 l'autorità svedese per la protezione dei dati (IMY) ha inflitto a Miljödata i Karlskrona AB una sanzione di 1,8 milioni di corone per violazione dell'art. 32, par. 1 del GDPR. Nell'agosto 2025 un attaccante aveva sottratto e pubblicato nel darknet dati che, secondo la società, riguardavano 2,2 milioni di persone: codici personali, recapiti, dati su assenze per malattia, riabilitazione ed episodi nelle scuole. Due le mancanze accertate: controlli insufficienti sull'installazione di nuovo software e nessun monitoraggio automatico in tempo reale per rilevare intrusioni. Condotta giudicata colposa. Fra i clienti colpiti, la maggioranza dei comuni svedesi, diverse regioni e agenzie statali: l'IMY ha aperto istruttorie su due comuni e una regione.
Che cosa è successo
Miljödata è un fornitore di sistemi informativi usati da enti pubblici e imprese private. Nell'agosto 2025 un attaccante ne ha violato i sistemi, ha copiato una grande quantità di dati personali e li ha pubblicati nel darknet. La società stessa ha stimato 2,2 milioni di persone coinvolte: una parte consistente della popolazione svedese. Fra i dati c'erano informazioni particolarmente delicate, come le assenze per malattia, i percorsi di riabilitazione dei lavoratori e le segnalazioni di episodi avvenuti nelle scuole.
Le due falle accertate
- NESSUN CONTROLLO SUL SOFTWARE NUOVO. La società non verificava a sufficienza ciò che veniva installato sui propri sistemi: è uno dei modi più comuni con cui un attaccante entra e resta.
- NESSUN ALLARME IN TEMPO REALE. Mancava un monitoraggio automatico capace di segnalare intrusioni e attività sospette mentre accadevano.
- IL METRO È IL TIPO DI DATI. L'IMY ha giudicato la sicurezza non adeguata rispetto a ciò che il fornitore trattava: con dati sanitari e scolastici di milioni di persone il livello richiesto è più alto.
- SANZIONE PER COLPA. La condotta è stata qualificata come colposa, e la violazione è quella dell'art. 32, par. 1, che obbliga titolari e responsabili.
Anche i clienti sono sotto esame
La sanzione colpisce il fornitore, ma la storia non finisce lì. L'IMY ha avviato istruttorie su due comuni e una regione che usavano i sistemi di Miljödata. Chi affida dati a un fornitore deve sceglierne uno che dia garanzie sufficienti (art. 28, par. 1) e verificarlo nel tempo: il contratto non trasferisce la responsabilità.
Perché un importo «piccolo» conta
Rispetto alla platea coinvolta, 1,8 milioni di corone possono sembrare poco. Il valore della decisione è altrove: l'autorità indica due misure precise la cui assenza basta a violare l'art. 32. Sono le stesse che ogni DPO può chiedere a un fornitore domani mattina, e che un'autorità guarderà per prime dopo il prossimo attacco.
Che cosa vuol dire per il DPO
Cinque domande ai fornitori
Uno: chi può installare software sui sistemi che trattano i nostri dati, e con quale controllo preventivo? Due: esiste un monitoraggio automatico 24 ore su 24 delle intrusioni, e chi riceve l'allarme? Tre: il contratto ex art. 28 descrive misure concrete o solo «misure adeguate»? Quattro: in quante ore il fornitore ci avvisa di una violazione? Cinque: quando abbiamo verificato l'ultima volta, con prove e non con dichiarazioni? In DPO Workspace la procedura data breach rifatta ora confronta il termine dei contratti dei fornitori con le 72 ore del titolare.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
