Il Garante per la protezione dei dati personali è nuovamente intervenuto in materia di inadeguatezza delle misure di sicurezza adottate nel trattamento dei dati personali.
Il Provvedimento trae origine da una segnalazione con la quale l’interessato lamentava la mancata implementazione, da parte di una società, di misure di sicurezza idonee a verificare l’identità degli utenti al momento della registrazione all’area personale del proprio sito, destinata alla consultazione dello storico delle bollette e dei consumi. L’interessato evidenziava che, inserendo il codice fiscale dell’intestatario del servizio e un qualsiasi indirizzo e-mail, sarebbe stato possibile accedere all’area riservata, visionando anche altre informazioni personali, tra cui l’indirizzo di abitazione e il numero di telefono.
Successivamente, il Garante rilevava che nell’area riservata erano presenti tre moduli per il conferimento del consenso al trattamento dei dati personali, già preselezionati sul “Sì”, senza un collegamento diretto a un’informativa privacy specifica, sebbene sul sito fossero disponibili la Privacy Policy e la Cookie Policy, l’Informativa clienti e l’Informativa relativa alle interazioni con le pagine social aziendali.
A fronte dell’avvenuta richiesta di chiarimenti, la società spiegava tra le altre cose che se un utente intende accedere in modo truffaldino all’area personale di un ulteriore cliente registrato, non è sufficiente conoscere il codice fiscale, ma è necessaria anche la password alfa numerica di accesso creata dal cliente stesso. La Società chiariva che “Il codice fiscale rappresenta un dato personale identificativo che, salvo derivi da una conoscenza personale del soggetto stesso, è di difficile ricerca proprio perché frutto di un intreccio di informazioni e non ottenibile sulla base di una semplice richiesta nominativa”.
All’esito dell’istruttoria, il Garante osservava che le valutazioni della società circa le misure adottate per verificare l’identità dei soggetti registrati all’area riservata non potevano essere condivise, in particolare in riferimento all’utilizzo in modo esclusivo del codice fiscale, considerata la facile reperibilità di tale informazione nel contesto attuale.
Il Garante evidenziava poi che “i form utilizzati ai fini dell’acquisizione del consenso al trattamento dei dati, nell’ambito della procedura di registrazione all’area riservata del sito, non apparivano in linea con la vigente normativa, dal momento che le caselle erano già preselezionate in corrispondenza della dicitura “SI” e le informative pubblicate apparivano contradditorie e carenti sotto il profilo della trasparenza”, lamentando l’assenza di un’apposita base giuridica, necessaria per effettuare un trattamento di dati personali.
In aggiunta, il Garante rilevava altresì il mancato rispetto del principio di limitazione del trattamento dei dati personali.
Alla luce delle ragioni di cui sopra e considerata la gravità degli illeciti, il Garante ha inflitto alla società una sanzione pecuniaria di 300mila euro.