Wind Tre S.p.A.
Ordinanza ingiunzione con irrogazione di sanzione amministrativa
Sintesi del provvedimento
Il Garante sanziona Wind Tre S.p.A. per violazioni del GDPR derivanti da due data breach occorsi presso punti vendita nel febbraio 2025, in cui ignoti attaccanti hanno ottenuto accesso non autorizzato mediante tecniche di social engineering. Le criticità accertate riguardano l'inadeguata gestione e conservazione dei certificati digitali, l'assenza di password manager e di controlli appropriati sulle API. Il secondo evento ha coinvolto 365.048 clienti. La sanzione di Euro 1.715.600,00 tiene conto delle misure correttive tempestivamente adottate dalla Società come elemento attenuante.
Approfondimento
Soggetti coinvolti
Primo evento: circa 23 clienti; secondo evento: 365.048 clienti; interessati con dati di pagamento: 41.359 soggetti
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazioni della sicurezza dei trattamenti di dati personali per gestione inadeguata di certificati digitali, assenza di procedure formalizzate di custodia delle chiavi private, mancanza di password manager e controlli insufficienti sulle API in violazione degli articoli 5, par. 1, lett. f) e 32 GDPR
Conseguenze — Ingiunge a Wind Tre S.p.A. di: 1) custodire i certificati digitali mediante soluzioni sicure con adeguati meccanismi di controllo degli accessi; 2) implementare sistemi di gestione delle credenziali (password manager); 3) prevedere procedure formalizzate di gestione del ciclo di vita dei certificati mediante key management system o hardware security module. Ordina il pagamento della sanzione di Euro 1.715.600,00 con possibilità di definizione versando il 50% entro 30 giorni. Dispone la pubblicazione integrale del provvedimento sul sito del Garante e comunic entro 30 giorni le iniziative adottate
- natura sensibile dei dati (informazioni anagrafiche, di contatto, dati di pagamento per 41.359 soggetti), numero elevato di interessati (365.048), livello di diligenza insufficiente rispetto al rischio potenziale
- misure di sicurezza tempestivamente adottate, assenza di precedenti violazioni pertinenti, elevata cooperazione con l'Autorità, tempestiva notifica del data breach al Garante
Il provvedimento evidenzia l'importanza di implementare procedure formalizzate e soluzioni tecnologiche robuste per la gestione del ciclo di vita dei certificati digitali e delle credenziali, nonché di adottare controlli adeguati sulle API al fine di prevenire accessi abusivi anche derivanti da tecniche di social engineering
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.