Azienda di porte blindate: misure di sicurezza inadeguate dopo un ransomware
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Commercio
- Notizia dell'EDPB
- 6 febbraio 2025
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
Un'azienda che vende, tra l'altro, porte blindate ha subito un attacco ransomware che ha reso inaccessibili dati di clienti e dipendenti, tra cui numeri PESEL, documenti d'identità e coordinate bancarie. L'autorità polacca ha rilevato che il titolare non aveva svolto un'analisi del rischio adeguata e non aveva adottato misure tecniche e organizzative idonee, tra cui l'aggiornamento del software. Sono state contestate anche una comunicazione errata agli interessati, la mancata verifica delle garanzie offerte dal responsabile del trattamento e il mancato rispetto del principio di responsabilizzazione. Il titolare è stato sanzionato e destinatario di un ordine di adeguamento; la violazione riguarda gli articoli 5, 24, 25, 28, 32, 33 e 34 del GDPR.
Per un DPO italiano, l'analisi del rischio deve considerare esplicitamente il malware e la gestione tempestiva degli aggiornamenti, e la comunicazione agli interessati va verificata nel contenuto oltre che nei tempi.
Casi simili in Italia
- SospesoIntesa Sanpaolo S.p.A.
Anche in questo caso una violazione di dati con accesso non autorizzato a un sistema informatico e un'omessa o inadeguata gestione della comunicazione del data breach.
- SanzioneLepida S.c.p.A.
Riguarda anch'esso misure di sicurezza tecniche e organizzative insufficienti, con gestione di un data breach e obblighi di informativa agli interessati.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of 81 000 € for failure to implement appropriate technical and organisational measures to ensure security”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.