Miljödata: sicurezza insufficiente e dati finiti nel dark web dopo un attacco
- Paese
- Svezia
- Autorità
- IMY
- Settore
- IT e servizi informatici
- Data della decisione
- 22 settembre 2026
- Notizia dell'EDPB
- 8 ottobre 2026
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
Il fornitore di servizi IT svedese Miljödata è stato vittima di un attacco informatico nell'agosto 2025, durante il quale dati personali di un gran numero di persone sono stati sottratti e pubblicati nel dark web. Secondo l'autorità, il trattamento è avvenuto in violazione dell'articolo 32, paragrafo 1, del GDPR, perché l'azienda non ha effettuato controlli adeguati sull'installazione di nuovo software e non disponeva di un monitoraggio automatizzato in tempo reale per rilevare intrusioni o attività sospette. L'autorità svedese IMY ha quindi imposto una sanzione amministrativa pecuniaria, ritenendo la società colpevole di negligenza.
Per un DPO italiano è un monito a verificare che i fornitori di servizi IT adottino controlli sul software installato e un monitoraggio in tempo reale, perché la mancanza di tali misure può configurare una violazione dell'art. 32 GDPR anche quando l'attacco parte dall'esterno.
Articoli del GDPR violati
- art. 32 GDPR Sicurezza del trattamento
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneNIER Ingegneria S.p.a. Società Benefit
Anche in questo caso la sanzione riguarda misure di sicurezza inadeguate in relazione a un incidente informatico di tipo ransomware.
- SanzioneAzienda Sanitaria Locale di Matera
Entrambi i casi riguardano un attacco informatico con esfiltrazione di dati personali e l'inadeguatezza delle misure tecniche per rilevarlo tempestivamente.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Swedish DPA fines Miljödata i Karlskrona approximately EUR 160 000 for insufficient technical and organisational measures to ensure information security”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.