Sportadmin: misure di sicurezza inadeguate dopo attacco informatico
- Paese
- Svezia
- Autorità
- IMY
- Soggetto
- Sportadmin i Skandinavien AB
- Settore
- Servizi digitali sportivi
- Notizia dell'EDPB
- 30 gennaio 2026
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
Dopo un attacco informatico, nel quale un malintenzionato ha avuto accesso a dati di oltre 2,1 milioni di persone e li ha pubblicati nel Darknet, l'autorità svedese (IMY) ha avviato un'istruttoria sulla società, che fornisce servizi digitali di comunicazione e gestione online per società sportive e altre organizzazioni. I dati esposti riguardavano soprattutto minori e giovani e includevano anche dati sanitari sensibili. L'autorità ha rilevato carenze tecniche e organizzative, tra cui la mancata risoluzione tempestiva di debolezze note e l'assenza di sistemi per individuare in tempo reale intrusioni e tentativi di intrusione. Per questo ha ritenuto violato l'articolo 32, paragrafo 1, del GDPR e ha deciso una sanzione amministrativa pecuniaria.
Per un DPO italiano, la lezione è che le misure di sicurezza vanno aggiornate quando emergono vulnerabilità note e che il rilevamento in tempo reale delle intrusioni è parte della sicurezza richiesta dall'articolo 32, soprattutto quando si trattano dati di minori o dati sanitari.
Articoli del GDPR violati
- art. 32 GDPR Sicurezza del trattamento
- art. 83 GDPR ↗ Condizioni generali per infliggere sanzioni amministrative pecuniarie
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneAzienda Sanitaria Locale di Matera
Anche in questo caso un attacco informatico ha portato all'esfiltrazione di dati personali, e l'autorità italiana ha contestato l'inadeguatezza delle misure per rilevare tempestivamente le violazioni.
- SanzioneDocplanner Italy S.r.l.
Riguarda una violazione di sicurezza che ha coinvolto dati sanitari di pazienti, con contestazione di misure di sicurezza insufficienti.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Swedish SA: Administrative fine against Sportadmin”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.