Nel giro di poche settimane il Garante per la protezione dei dati personali ha definito due procedimenti in materia di violazione dei dati personali che, per dimensioni, non potrebbero essere più distanti: da un lato un operatore di telefonia con oltre 365.000 clienti coinvolti e una sanzione di 1.715.600 euro, dall’altro un ente territoriale, una nota riservata rimasta visibile per quattro giorni e una sanzione di 12.000 euro.
Letti insieme, i due provvedimenti dicono però la stessa cosa. In nessuno dei due casi la violazione è stata resa possibile da una tecnica di attacco sofisticata: in entrambi ciò che ha determinato l’esito è stata una configurazione. E la configurazione, contrariamente a quanto si tende a credere, non è una questione che si esaurisce nel reparto informatico.
Il caso dell’operatore telefonico: credenziali, interfacce, nessun limite
Con provvedimento n. 348 del 14 maggio 2026 l’Autorità ha definito il procedimento relativo a due eventi verificatisi nel febbraio 2025. Il meccanismo è istruttivo. Gli attaccanti non hanno forzato alcun sistema: si sono rivolti ai punti vendita, presentandosi come personale tecnico di assistenza, e hanno ottenuto per questa via le credenziali di accesso.
Ciò che è accaduto dopo è il punto decisivo. Con quelle credenziali sono state interrogate le interfacce applicative che alimentano i sistemi di vendita. Il primo evento si è risolto in 66 interrogazioni e una ventina di clienti coinvolti. Il secondo ha assunto tutt’altra scala: circa due milioni di richieste automatizzate, condotte con tecnica di enumerazione, che hanno permesso di estrarre i dati di 365.048 clienti — anagrafiche e recapiti, e per 41.359 di essi anche i dati di pagamento.
La differenza tra ventitré interessati e trecentosessantacinquemila non sta nella qualità dell’attacco. Sta nel fatto che nulla, tra la prima richiesta e la due milionesima, ha interrotto la sequenza. Le carenze contestate dall’Autorità sono infatti quattro, e ruotano tutte attorno a questa assenza di limiti:
- gestione inadeguata dei certificati digitali e delle chiavi private;
- conservazione non sicura delle credenziali di autenticazione;
- attività di vulnerability assessment insufficiente sulle interfacce esposte;
- assenza di meccanismi di limitazione della frequenza delle richieste e di controlli antiautomazione sulle interfacce secondarie.
Le violazioni sono state ricondotte all’art. 5, par. 1, lett. f) del Regolamento — il principio di integrità e riservatezza — e all’art. 32, par. 1, lett. b), sull’adeguatezza delle misure di sicurezza.
Un dato merita di essere segnalato a chi valuta il rischio sanzionatorio: la sanzione irrogata corrisponde a circa lo 0,04 per cento del fatturato, a fronte di un massimale edittale che nel caso concreto avrebbe potuto superare i 171 milioni di euro. È una misura contenuta rispetto al tetto astratto, e resta comunque uno degli importi più elevati degli ultimi anni. Le due letture non sono in contraddizione: indicano che l’entità della sanzione dipende dalla valutazione della condotta complessiva molto più di quanto non dipenda dal numero degli interessati coinvolti.
Il caso dell’ente territoriale: il protocollo che mostrava troppo
Con ordinanza ingiunzione n. 426 dell’11 giugno 2026 il Garante ha sanzionato per 12.000 euro un ente territoriale in relazione a un episodio di tutt’altra natura. Una nota riservata — la richiesta, indirizzata al segretario generale, di valutare l’avvio di un procedimento disciplinare nei confronti di un dirigente — è rimasta visibile, tra il 25 e il 29 marzo 2025, a un numero indeterminato di utenti del sistema di protocollo informatico dell’ente.
Nessun attacco, nessuna intrusione. Il sistema funzionava esattamente come era stato configurato: senza una gestione differenziata delle visibilità, e dunque rendendo accessibile a chiunque avesse accesso al protocollo un documento che per sua natura avrebbe dovuto seguire un percorso riservato.
Le violazioni contestate sono i principi di integrità e riservatezza e di responsabilizzazione, e la protezione dei dati fin dalla progettazione e per impostazione predefinita. Tra gli elementi valorizzati dall’Autorità, la circostanza che indicazioni sul corretto trattamento dei dati nel rapporto di lavoro siano disponibili per i datori di lavoro pubblici e privati fin dal 2007: non si trattava, in altre parole, di una materia nuova o di incerta interpretazione.
Cosa hanno in comune
Il collegamento tra i due casi sta nel fatto che entrambe le violazioni erano prevedibili al momento della configurazione, e in nessuno dei due casi la previsione è stata fatta.
Che un’interfaccia interrogabile senza limiti di frequenza possa essere usata per estrarre massivamente dati non è una scoperta successiva all’incidente: è la ragione per cui esistono i meccanismi di limitazione. Che un sistema documentale privo di gestione differenziata delle visibilità esponga prima o poi un documento riservato non è una fatalità: è la conseguenza necessaria di quella scelta di configurazione, e il momento in cui si verifica dipende solo da quale documento vi transita per primo.
È esattamente questo che l’art. 25 del Regolamento chiede quando parla di protezione dei dati fin dalla progettazione e per impostazione predefinita. Non impone di adottare tecnologie particolari: impone di decidere prima, nel momento in cui il sistema viene configurato, quali dati saranno accessibili a chi. Una decisione non presa è comunque una decisione, e produce l’impostazione predefinita più permissiva.
La conseguenza organizzativa
Da qui discende il profilo che interessa più direttamente chi ha responsabilità di governo dei dati, e in particolare il responsabile della protezione dei dati.
Nel caso dell’ente territoriale l’attribuzione delle visibilità nel protocollo informatico è, formalmente, un parametro di configurazione di un applicativo gestito dal servizio informatico. Sostanzialmente è una decisione sul trattamento: stabilisce chi, all’interno dell’ente, può conoscere quali documenti. Nel momento in cui viene trattata come un dettaglio tecnico, esce dal perimetro delle valutazioni sulla protezione dei dati e nessuno se ne occupa più — fino a quando un documento sbagliato non la rende visibile.
Lo stesso vale, su scala diversa, per l’operatore telefonico: la decisione di non applicare limiti di frequenza a un’interfaccia secondaria è una scelta di configurazione con effetti diretti sul livello di protezione dei dati di milioni di persone.
La domanda operativa, allora, non è se l’organizzazione disponga di misure di sicurezza. È se esista un punto della struttura in cui le scelte di configurazione vengono qualificate come scelte sul trattamento, e come tali valutate e documentate.
Quattro verifiche concrete
Da questi due provvedimenti si ricava una lista di controllo che vale sia per l’impresa sia per l’ente pubblico:
- Le utenze dei soggetti esterni che accedono ai sistemi. Rivenditori, punti vendita, fornitori, appaltatori: sono il punto di ingresso più esposto al raggiro, e le loro credenziali aprono spesso gli stessi sistemi delle utenze interne. Vanno censite, limitate a quanto strettamente necessario e sottoposte a verifiche periodiche di utilizzo.
- Le interfacce applicative esposte. Ogni interfaccia che consente di interrogare una banca dati va valutata anche sotto il profilo del volume: quante interrogazioni sono normali, oltre quale soglia scatta un blocco, chi riceve l’allarme.
- Le visibilità predefinite nei sistemi documentali. La domanda da porre a chi amministra il protocollo o il gestore documentale è semplice: un documento inserito oggi, senza istruzioni particolari, chi lo vede? Se la risposta è «tutti gli utenti», la configurazione va rivista prima che vi transiti la nota sbagliata.
- La tracciabilità delle scelte di configurazione. Il principio di responsabilizzazione richiede di poter dimostrare le decisioni assunte. Una configurazione ereditata dal fornitore e mai valutata è, sul piano probatorio, una decisione che nessuno ha preso.
Vale un’ultima notazione. Nel caso dell’ente territoriale la sanzione è di dodicimila euro, importo che nell’economia di un bilancio pubblico può apparire modesto. Il costo reale dell’episodio, però, è un altro: una comunicazione riservata relativa a un procedimento disciplinare è stata resa conoscibile ai colleghi dell’interessato. È un danno che non si ripara con il pagamento della sanzione, e che nasce da una casella di configurazione.
Il presente contributo ha finalità informativa e riflette il contenuto dei provvedimenti richiamati alla data di pubblicazione. Nulla di quanto scritto costituisce parere legale sul caso concreto.
Fonti: Garante per la protezione dei dati personali, provvedimento n. 348 del 14 maggio 2026 (doc. web n. 10263796); ordinanza ingiunzione n. 426 dell’11 giugno 2026; newsletter dell’Autorità del 16 e del 29 luglio 2026.
