Società postale greca: accessi non autorizzati e dati sul Dark Web

Sintesi della decisione

L'autorità greca per la protezione dei dati ha esaminato due violazioni segnalate dalla società postale Hellenic Post Services S.A. (ELTA S.A.): la cifratura dei dati nei sistemi aziendali a scopo di riscatto, seguita da un attacco informatico, e la fuga di dati personali poi pubblicati sul Dark Web. L'istruttoria ha accertato che il titolare non aveva adottato le misure tecniche e organizzative richieste dal GDPR e non aveva garantito l'attuazione della politica di sicurezza del trattamento, con accessi non autorizzati, esecuzione di processi malevoli e disattivazione dei software di sicurezza. È stata irrogata una sanzione pari all'1% del fatturato annuo dell'ultimo esercizio disponibile, tenendo conto del numero di persone coinvolte, del danno, della natura della violazione e delle categorie di dati interessate, mentre tra le circostanze attenuanti sono stati considerati il rafforzamento delle misure di sicurezza dopo l'incidente, l'affidamento dell'indagine a una società specializzata, il recupero dei dati e la situazione finanziaria sfavorevole della società.