{"id":4752,"date":"2020-07-09T18:36:32","date_gmt":"2020-07-09T16:36:32","guid":{"rendered":"http:\/\/www.patriziameo.it\/privacy\/?p=4752"},"modified":"2024-07-04T15:00:42","modified_gmt":"2024-07-04T13:00:42","slug":"sanzione-data-breach-adun-istituto-bancario","status":"publish","type":"post","link":"https:\/\/www.patriziameo.it\/privacy\/2020\/07\/09\/sanzione-data-breach-adun-istituto-bancario\/","title":{"rendered":"Sanzione per data breach ad un istituto bancario"},"content":{"rendered":"

Il Garante per la privacy ha ordinato<\/a> ad un istituto bancario il pagamento di una sanzione di 600 mila euro al termine di una complessa istruttoria riguardante un data breach causato da accessi abusivi<\/strong> ai dati personali di oltre 700 mila clienti, tra aprile 2016 e luglio 2017. Era stata la banca stessa, a fine luglio 2017, a comunicare all\u2019Autorit\u00e0, la violazione subita.<\/p>\n

Il caso<\/strong><\/h3>\n

La banca si avvale di una societ\u00e0 terza per la gestione delle pratiche di finanziamento per la cessione del quinto dello stipendio.<\/p>\n

Utilizzando le credenziali di accesso dei dipendenti autorizzati di questa terza parte, ignoti hanno effettuano accessi abusivi. Tutto ci\u00f2 approfittando di una vulnerabilit\u00e0 dell\u2019applicativo di gestione delle pratiche.<\/p>\n

Accessi di oltre 760 mila clienti<\/strong>, relative a istanze di finanziamento sia per cessione del quinto sia per credito al consumo. Gli accessi abusivi<\/strong> avevano riguardato una molteplicit\u00e0 di informazioni (dati anagrafici e di contatto, professione, livello di studio, estremi identificativi di un documento di riconoscimento e informazioni relative a datore di lavoro, salario, importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e codice Iban).<\/p>\n

Violazione delle misure minime di sicurezza<\/strong><\/h3>\n

L\u2019accertamento ispettivo e l\u2019istruttoria evidenziano che l\u2019esfiltrazione dei dati personali dei clienti da parte di ignoti malintenzionati era stata resa possibile grazie a \u00abun\u2019errata progettazione del sistema di autorizzazione dell\u2019applicativo<\/em>\u00bb di gestione delle pratiche di finanziamento. A causa di ci\u00f2, \u00abgli operatori potevano accedere a una qualsiasi pratica di finanziamento (sia di \u201cprestito al consumo\u201d che di \u201ccessione del quinto dello stipendio\u201d) (\u2026) indipendentemente dal profilo di autorizzazione a loro attribuito<\/em>\u00bb. In tal modo la banca si \u00e8 resa responsabile della carente adozione di un adeguato sistema di autorizzazione<\/strong> come previsto dal disciplinare tecnico, allegato B) al codice privacy (regole 12 e 13).<\/p>\n

Codice Privacy<\/strong><\/h3>\n

L\u2019attuale sanzione, determinata applicando la disciplina precedente l\u2019entrata in vigore del Gdpr, segue la contestazione di violazioni amministrative notificata alla banca nel maggio 2019, originata a sua volta da un provvedimento adottato dall\u2019Autorit\u00e0 nel marzo 2019<\/a> con il quale il Garante aveva accertato la violazione, da parte dell\u2019istituto bancario, delle misure minime di sicurezza previste dal Codice privacy e il mancato rispetto delle regole fissate dalla stessa Autorit\u00e0 nel provvedimento n. 192 del 12 maggio 2011 <\/a>in materia di tracciamento delle operazioni bancarie.<\/p>\n

Sanzione<\/strong><\/h3>\n

Sulla base delle violazioni riscontrate, l\u2019Autorit\u00e0 ha irrogato la sanzione pecuniaria complessiva di 600.000 euro calcolata come segue:<\/p>\n