TL;DR per il DPO
Tre cose. Primo: un rischio scritto in una valutazione e mai chiuso diventa la prova che sapevi, e IMY l'ha usato come aggravante. Secondo: l'art. 32 vale identico per titolare e responsabile, e IMY si e' rifiutata di perdere tempo a separare i due ruoli. Terzo: la sanzione e' stata calcolata sul fatturato del gruppo, non della societa', perche' l'85% delle quote e un accordo per il resto bastano a fare un'unita' economica.
Cosa e' successo
Sportadmin fornisce a societa' sportive e altre organizzazioni uno strumento web per la gestione dei soci, la fatturazione e i siti, piu' un'applicazione usata da dirigenti, soci e genitori. Il 16 gennaio 2025 l'azienda scopre un'intrusione e la notifica a IMY il giorno dopo. L'analisi dei log mostra che l'attaccante e' entrato con una SQL injection attraverso una variabile presente su una delle pagine web, priva di protezione contro quel tipo di attacco, e che i tentativi erano cominciati la mattina del 14 gennaio. Il 14 marzo 2025 tutti i dati esfiltrati sono comparsi sul darknet.
Nel perimetro c'erano nome e cognome, contatti, sesso, personnummer, il legame fra genitore e figlio, la nazionalita', lo sport e la societa'. E, fra i dati particolari, allergie e disabilita'. Poiche' le societa' sportive si occupano soprattutto di attivita' per bambini e ragazzi, quella e' la categoria piu' rappresentata negli archivi.
La variabile del 28 giugno 2022
Il difetto nasce da una modifica al procedimento di accesso ai siti delle societa', fatta il 28 giugno 2022. In quel cambio viene introdotta una variabile su una pagina web e, riutilizzando una variabile che l'azienda considerava sicura, nessuno applica il metodo di protezione contro le SQL injection che l'azienda pure possedeva. All'inizio del 2023 Sportadmin introduce un metodo di protezione rafforzato: ma non sa che quella variabile e' scoperta, e quindi il metodo non le viene applicato.
Due fattori hanno poi allargato il danno: l'utenza SQL aveva permessi piu' alti del necessario per ragioni di compatibilita' con il sistema piu' vecchio, e l'utenza Windows che eseguiva il servizio SQL ne aveva piu' di quanti l'azienda sapesse. Il server SQL consentiva inoltre l'esecuzione di programmi esterni, per esempio script PowerShell.
Il punto che cambia il modo di scrivere le valutazioni del rischio
Sportadmin non e' un'azienda senza processi. Faceva revisioni ampie nel 2021, nel 2022 e a cavallo fra 2023 e 2024, e in quelle revisioni identificava in modo costante un rischio elevato di intrusione tramite SQL injection, dovuto alla presenza di codice piu' vecchio. Nel maggio e giugno 2024 aveva anche valutato l'introduzione di un Web Application Firewall, poi accantonata perche' richiedeva troppa gestione manuale e costi di attuazione alti.
Come IMY ha girato l'argomento
L'azienda portava quelle revisioni a propria difesa: guardate quanto lavoriamo sulla sicurezza. IMY le ha lette al contrario. Se per anni hai identificato quel rischio esatto, e per anni hai rinviato le misure che servivano a coprirlo - misure che poi hai realizzato in pochi giorni dopo l'incidente - allora non sei stato sfortunato: sei stato gravemente negligente. La colpa grave e' entrata nel calcolo come aggravante.
Vale la pena fermarsi qui, perche' e' controintuitivo e ha conseguenze pratiche. Un registro dei rischi non e' un documento neutro da esibire in ispezione. E' una dichiarazione datata di cio' che sapevi. Se accanto al rischio non c'e' una misura con una data e un esito, quel documento lavora contro di te.
Titolare o responsabile: all'art. 32 non interessa
IMY osserva che Sportadmin agisce in prevalenza come responsabile del trattamento e solo in misura limitata come titolare, e poi dice una cosa utile: siccome l'obbligo dell'art. 32 grava in modo identico su titolari e responsabili, non si mette a stabilire quale ruolo avesse per ciascuna attivita'. Chi progetta e fornisce il servizio e' chi ha la possibilita' concreta di implementare le misure, e questo basta.
La cascata delle 72 ore
C'e' un aspetto operativo che merita attenzione. L'incidente riguardava un fornitore, ma ciascuna societa' sportiva era titolare per i propri soci e aveva quindi una propria notifica da fare. Sportadmin ha spento tutti i servizi circa un'ora dopo la scoperta, poi ha fatto oltre 2.000 telefonate alle societa' per aiutarle a notificare, e circa 1.700 di loro hanno presentato la notifica entro 72 ore dall'incidente.
Cosa non ha ridotto la sanzione, e cosa l'ha ridotta
IMY ha escluso come attenuanti l'autodenuncia e la collaborazione con l'autorita', perche' sono cio' che si aspetta da chiunque. Ha escluso anche le misure tecniche adottate dopo l'incidente, con una motivazione secca: in gran parte erano cio' che si doveva fare prima. L'unica attenuante riconosciuta e' il ruolo attivo di coordinamento verso le societa' sportive, per consentire a loro di rispettare i propri obblighi nei tempi.
Il fatturato su cui si calcola non era quello della societa'
Sportadmin sosteneva di essere un'unita' autonoma: proprio consiglio, propria sede, proprio ambiente tecnico, e una capogruppo che possiede l'85% delle quote senza esercitare un'influenza determinante. IMY ha risposto ricostruendo i legami: l'85% acquisito il 9 gennaio 2024 con accordo per il restante 15% nel terzo trimestre del 2027, la societa' chiamata sistematicamente col nome del gruppo nel bilancio della capogruppo, due amministratori su cinque con incarichi in entrambe le societa', quattro presenti nella direzione di gruppo, il capo dell'ufficio legale del gruppo come difensore nell'istruttoria, e le procedure documentate per le modifiche al codice fornite dal gruppo.
Conclusione: unita' economica ai sensi degli articoli 101 e 102 TFUE, base di calcolo il fatturato di gruppo del 2024, circa 685.700.000 corone. Il 2% fa 13.714.000 corone, importo inferiore al massimo statico, quindi il tetto applicabile resta 10 milioni di euro. La sanzione finale e' 6.000.000 di corone, con la gravita' elevata e il fatturato di gruppo da un lato e l'attenuante del coordinamento dall'altro.
Cosa fare adesso, in pratica
1) Prendi le valutazioni del rischio dei tuoi clienti degli ultimi tre anni e cerca i rischi che si ripetono identici anno dopo anno: quelli sono i piu' pericolosi, non perche' siano i piu' gravi ma perche' dimostrano che sapevi. Accanto a ognuno serve una misura con data e esito. 2) Chiedi ai fornitori di software gestionale come e' organizzata la revisione del codice: se non e' obbligatoria e i criteri di rischio sono soggettivi, l'hai appena trovato il difetto. 3) Verifica i permessi delle utenze di servizio e di database: qui hanno moltiplicato il danno. 4) Se un tuo cliente usa una piattaforma condivisa con altre organizzazioni, mettete per iscritto adesso chi avvisa chi e con quali tempi: nel caso svedese 1.700 titolari avevano ognuno la propria scadenza di 72 ore. 5) Ricordati che un responsabile del trattamento risponde dell'art. 32 come il titolare, e che se appartiene a un gruppo la sanzione puo' essere calcolata sul fatturato del gruppo.
La decisione e' impugnabile entro tre settimane davanti al Forvaltningsratten di Stoccolma, quindi l'importo non e' definitivo.
Fonte ufficiale:IMY - Beslut efter tillsyn enligt dataskyddsforordningen, Sportadmin i Skandinavien AB, dnr IMY-2025-7801 (26 gennaio 2026)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
