E.E.T.A.A. e ministero: data breach per sistemi obsoleti e sicurezza inadeguata
- Paese
- Grecia
- Autorità
- HDPA
- Soggetto
- Ministry of Social Cohesion and Family Affairs
- Settore
- Pubblica amministrazione
- Data della decisione
- 28 luglio 2026
- Notizia dell'EDPB
- 8 ottobre 2026
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità greca di protezione dei dati ha esaminato un ampio data breach che ha coinvolto database con dati identificativi, di contatto, finanziari e sanitari, gestiti tramite i sistemi informatici di E.E.T.A.A. S.A. per conto del Ministero della Coesione Sociale e della Famiglia. L'autorità ha rilevato che il successo dell'attacco era legato all'uso continuato di sistemi informativi obsoleti e a misure di sicurezza inadeguate, nonostante la consapevolezza dei rischi, oltre a carenze nel rispetto dell'articolo 28 GDPR sul rapporto tra titolare e responsabile. Il Ministero, in qualità di titolare, è stato ritenuto conforme agli obblighi di notifica e comunicazione agli interessati. L'autorità ha imposto sanzioni amministrative e ordinato alle parti di stipulare un accordo di trattamento ai sensi dell'articolo 28 GDPR e di attuare integralmente le misure pianificate per rafforzare la sicurezza dei sistemi.
Il titolare resta responsabile della scelta di un responsabile del trattamento adeguato e della formalizzazione di un accordo ex articolo 28 GDPR, e la mancata modernizzazione di sistemi noti come vulnerabili può costituire violazione dell'articolo 32.
Articoli del GDPR violati
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 32 GDPR Sicurezza del trattamento
- art. 33 GDPR Notifica di una violazione dei dati personali all'autorità di controllo
- art. 34 GDPR Comunicazione di una violazione dei dati personali all'interessato
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneAzienda Sanitaria Locale di Matera
Anche in questo caso una violazione di sicurezza causata da un attacco ransomware, con inadeguatezza delle misure tecniche e organizzative per rilevare tempestivamente le intrusioni.
- SanzioneNIER Ingegneria S.p.a. Società Benefit
Analoga contestazione di inadeguate misure di sicurezza in seguito a un data breach da ransomware.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor for the Ministry of Social Cohesion and Family Affairs”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.