Source: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9429195
Timestamp: 2020-07-08 06:00:26+00:00
Document Index: 41899144

Matched Legal Cases: ['art. 33', 'art. 162', 'art. 33', 'art. 162', 'art. 154', 'art. 164', 'art. 33', 'art. 162', 'art. 33', 'art. 162', 'art. 154', 'art. 164']

Ordinanza ingiunzione nei confronti di UniCredit S.p.A. - 10 giugno 2020... - Garante Privacy
Ordinanza ingiunzione nei confronti di UniCredit S.p.A. - 10 giugno 2020 [9429195]
Banche credito e finanza , Misure di sicurezza , Sicurezza dei dati bancari , Data breach
[doc. web n. 9429195]
Ordinanza ingiunzione nei confronti di UniCredit S.p.A. - 10 giugno 2020
- la Società, in data 25 luglio 2017, ha comunicato a questa Autorità di aver subito un’intrusione informatica, verificatasi in due momenti distinti in un arco temporale compreso tra aprile 2016 e luglio 2017, che ha determinato accessi non autorizzati a dati personali riferiti a circa 762.000 interessati; tali accessi abusivi sono stati effettuati con le utenze di alcuni dipendenti di un partner commerciale esterno (la società Penta Finanziamenti Italia S.r.l., di seguito “Penta”) attraverso un applicativo denominato Speedy Arena. In particolare, è risultato che i dati, oggetto della violazione, consistevano in: dati anagrafici e di contatto, professione, livello di studio, estremi identificativi di un documento di riconoscimento e informazioni relativi a datore di lavoro, salario, importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e codice Iban;
- l’Ufficio ha avviato una complessa attività istruttoria nei confronti della Società, culminata in un accertamento ispettivo che si è svolto in data 22, 23 e 24 ottobre 2018;
- all’esito dell’istruttoria svolta dall’Ufficio, il Garante ha adottato, in data 28 marzo 2019, il provvedimento n. 87 (reperibile in www.gpdp.it, doc. web n. 9104006, di seguito “provvedimento”), al quale si fa integralmente richiamo, con il quale ha dichiarato illecito il trattamento dei dati personali posto in essere da Unicredit, in qualità di titolare del trattamento, perché effettuato in violazione delle misure minime di sicurezza previste dagli artt. 33 e ss. del Codice e dal disciplinare tecnico di cui all’All. B) al Codice stesso e delle misure prescritte con il provvedimento n. 192 del 12 maggio 2011, recante “Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie” (doc. web n. 1813953);
- la violazione delle misure minime di sicurezza ex art. 33 del Codice è stata accertata con riferimento all’inosservanza delle regole nn. 12 e 13 del disciplinare tecnico di cui all’All. B) al Codice, in relazione all’utilizzo di un non idoneo sistema di autorizzazione dell’applicativo Speedy Arena e all’assenza del “limite di accesso” dei profili di autorizzazione ai soli dati necessari per effettuare le operazioni di trattamento;
- la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice, in relazione all’art. 33, con riferimento alla mancata adozione delle misure minime di sicurezza;
- la violazione amministrativa prevista dall’art. 162, comma 2-ter, del Codice, in relazione all’art. 154, comma 1, lett. c), con riferimento all’inosservanza delle prescrizioni impartite dal Garante con il provvedimento n. 192 del 12 maggio 2011;
- infine, la violazione prevista dall’art. 164-bis, comma 2, del Codice, in riferimento alla circostanza che le violazioni commesse sono riferite a banche date di particolare rilevanza o dimensioni;
- con riferimento alla violazione delle misure di sicurezza di cui all’art. 33 del Codice, il sistema di autorizzazione adottato, rispetto all’applicativo Speedy Arena, era pienamente conforme alle disposizioni contenute nella regola 12 del Disciplinare tecnico di cui all’All. B) al Codice, vigente all’epoca dei fatti, posto che “non si è verificato alcun errore nella definizione dei profili di autorizzazione che erano correttamente impostati ed operativi”. Invece, “l’accesso indebito ai dati personali è stato possibile solo a causa della gestione scorretta delle credenziali di accesso da parte di Penta che hanno consentito il successivo sfruttamento di un baco dell’applicativo”. L’applicativo Speedy Arena poteva essere utilizzato solo attraverso Extranet, ovvero un’estensione della rete aziendale idonea a consentire ai soggetti operanti all’esterno della Società di accedere alle informazioni o ai servizi della Società stessa, il cui accesso (analiticamente descritto al punto 3.1, lett. a) e b), dello scritto difensivo) era possibile attraverso un canale criptato e previo superamento di una doppia procedura di autenticazione informatica da parte dell’utente;
- a differenza di quanto rilevato nel Provvedimento e successivamente oggetto di contestazione, “i profili di autorizzazione per ciascun incaricato o per classi omogenee di incaricati di UniCredit sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli dati necessari per effettuare le operazioni di trattamento”. La Società, pertanto, sostiene di aver definito correttamente i livelli di accesso all’applicativo Speedy Arena, ma che, a causa di un utilizzo improprio delle credenziali di accesso da parte degli utenti di Penta, cui ha fatto seguito lo sfruttamento di un bug informatico dei sistemi di back-end del citato applicativo, è stato possibile superare le restrizioni di visibilità e le segregazioni degli accessi, che invece erano state poste in essere correttamente;
- “la circostanza che non sia stato possibile accedere ai log di tracciamento delle operazioni effettuate (…) e che tali log non riportassero la registrazione del codice del cliente interessato dall’operazione di accesso ai dati bancari da parte dell’incaricato non implica la totale inadeguatezza delle misure di sicurezza adottate”. Infatti, la Società aveva adottato un sistema di tracciamento delle operazioni bancarie, ad integrazione e complemento dei sistemi di raccolta dei log per singoli applicativi, che le ha permesso di ricostruire gli eventi legati al data breach. In particolare, è stato possibile individuare la data di inizio della violazione e la sua portata, grazie al sistema di collezione dei log che raccoglieva i log del firewall, il quale includeva: il numero della pratica, il codice utenza dell’operatore che ha effettuato l’operazione di accesso, l’indirizzo IP da cui viene effettuata l’operazione, la data e l’ora di esecuzione dell’operazione e la tipologia di operazione posta in essere conformemente alle misure prescritte al punto 1, lett. b), del provvedimento del 12 maggio 2011;
- infine, per quanto riguarda la contestazione relativa alla mancata implementazione di alert, la società ha dichiarato che, già all’epoca degli eventi contestati, era presente un sistema di firewall che filtrava e valutava l’ammontare del traffico sul complesso degli applicativi della società che, al superamento di soglie particolarmente elevate di traffico, inviava un alert “senza riuscire a identificare un numero di interrogazioni come quelle del caso in esame che, benché elevate per il singolo applicativo, non erano rilevanti rispetto al traffico informatico che un istituto di credito come Unicredit gestisce quotidianamente”;
CONSIDERATO altresì che i rilevanti profili di illiceità del trattamento emersi nel caso di specie, quale conseguenza della mancata adozione di misure tecniche e organizzative adeguate, esigono comunque l'intervento correttivo di questa Autorità nei termini odierni, al fine di salvaguardare i diritti e le libertà fondamentali degli interessati a prescindere dalla notificazione della violazione di dati personali effettuata dal titolare del trattamento;
- in ordine all’aspetto della gravità, gli elementi relativi all’intensità dell’elemento psicologico e all’entità del pericolo e del pregiudizio vanno valutati tenendo conto che le violazioni risultano commesse in relazione a un rilevante numero di interessati;
- ai fini della valutazione dell’opera svolta dall’agente, deve evidenziarsi che la Società, successivamente al data breach in esame, ha adottato diverse misure e ha avviato iniziative volte a rafforzare la sicurezza dei propri sistemi informatici;
- circa la personalità dell’autore della violazione, deve essere considerata la circostanza che non risultano precedenti procedimenti sanzionatori nei confronti di UniCredit S.p.A.;
- in merito alle condizioni economiche dell’agente, è stato preso in considerazione il bilancio di esercizio per l’anno 2018;
- euro 120.000,00 (centoventimila) per la violazione di cui all’art. 162, comma 2-bis, del Codice, in relazione all’art. 33;
- euro 180.000,00 (centottantamila) per la violazione di cui all’art. 162, comma 2-ter, del Codice, in relazione all’art. 154, comma 1, lett. c);
- euro 300.000,00 (trecentomila) per la violazione di cui all’art. 164-bis, comma 2, del Codice;