Data breach Ambrosetti: sanzione da 85mila euro del Garante Privacy. ADICU: password in chiaro e comunicazioni tardive agli utenti sono violazioni gravi della fiducia digitale

L’Associazione per la Difesa dei Consumatori e degli Utenti (ADICU APS) richiama l’attenzione sul provvedimento con cui il Garante per la protezione dei dati personali ha sanzionato The European House – Ambrosetti S.p.A. per 85mila euro, a seguito di un data breach che ha coinvolto 61.670 persone.

La violazione ha riguardato dati anagrafici, indirizzi e-mail, username e password di utenti dei servizi online della società, tra cui dipendenti di aziende clienti e personale interno. L’attacco informatico è avvenuto tramite accesso non autorizzato ai sistemi e ha comportato l’esfiltrazione di credenziali di autenticazione e dati personali.

Dagli accertamenti del Garante sono emerse carenze rilevanti nelle misure di sicurezza adottate. In particolare, una parte delle password risultava conservata in chiaro, mentre un’altra parte era protetta con tecniche crittografiche non conformi allo stato dell’arte, tra cui funzioni di hashing considerate non adeguate rispetto agli standard di sicurezza attuali.

L’Autorità ha inoltre rilevato la conservazione di credenziali relative a sistemi non più in uso, in violazione dei principi di limitazione della conservazione, integrità, riservatezza e sicurezza del trattamento previsti dal GDPR.

Altro profilo centrale del provvedimento riguarda la comunicazione agli interessati. Pur avendo notificato il data breach al Garante entro le 72 ore previste dalla normativa, la società non ha informato tempestivamente le persone coinvolte, ritenendo inizialmente che la violazione non presentasse un rischio elevato per i loro diritti e libertà.

La comunicazione agli utenti è avvenuta solo dopo l’intervento correttivo del Garante, a distanza di circa due mesi dalla scoperta dell’incidente. Secondo l’Autorità, il ritardo non è giustificabile, tanto più in presenza di credenziali compromesse che potevano esporre gli interessati a rischi di accessi illeciti, riutilizzo delle password, furto di identità digitale e ulteriori attacchi informatici.

ADICU ritiene il caso particolarmente significativo perché riguarda un soggetto di elevato profilo istituzionale e consulenziale, attivo nei rapporti con imprese, manager, professionisti e organizzazioni pubbliche e private. La sicurezza dei dati personali non può essere trattata come un adempimento secondario, né può essere subordinata a valutazioni di opportunità reputazionale.

Quando si verifica una violazione di dati personali, il primo dovere del titolare del trattamento è proteggere le persone coinvolte, consentendo loro di adottare tempestivamente misure di autotutela, come la modifica delle password, il controllo degli accessi e la verifica di eventuali utilizzi anomali delle proprie credenziali.

ADICU sottolinea che la conservazione di password in chiaro o mediante strumenti tecnici non adeguati costituisce una criticità grave, soprattutto in un contesto in cui le credenziali digitali rappresentano una delle principali porte di accesso alla vita professionale, economica e personale degli utenti.

Il provvedimento conferma che la cybersicurezza non è solo una questione tecnica, ma un presidio essenziale di tutela dei diritti fondamentali. Ogni organizzazione che gestisce piattaforme online, portali formativi, servizi digitali o archivi di utenti deve adottare misure proporzionate al rischio, aggiornate allo stato dell’arte e sottoposte a verifiche periodiche.

ADICU invita cittadini, lavoratori e aziende coinvolte in data breach a prestare massima attenzione alle comunicazioni ricevute, modificare tempestivamente le password, evitare il riutilizzo delle stesse credenziali su più servizi e monitorare eventuali accessi sospetti o tentativi di phishing.

L’Associazione continuerà a monitorare i casi di violazione dei dati personali e a promuovere una cultura della responsabilità digitale, affinché imprese, enti e professionisti garantiscano sicurezza, trasparenza e tempestiva informazione agli interessati.