Nota al provvedimento del Garante per la protezione dei dati personali del 14 maggio 2026, n. 348 (doc. web 10263796)
Premessa
Con il provvedimento del 14 maggio 2026, n. 348, il Garante per la protezione dei dati personali ha sanzionato una società del settore delle telecomunicazioni per due data breach originati da tecniche di ingegneria sociale (social engineering) ai danni della rete di vendita indiretta. La decisione fissa un punto fermo: la custodia sicura dei certificati digitali e la protezione delle interfacce applicative (API) rientrano nelle misure di sicurezza esigibili ai sensi dell’art. 32 del Regolamento (UE) 2016/679 (GDPR), e la natura non subordinata del rapporto con i punti vendita non esonera il titolare dall’imporre presidi adeguati alla propria rete distributiva.
Il caso
Nel febbraio 2025 la società notificava al Garante, ai sensi dell’art. 33 del Regolamento, due eventi di violazione dei dati personali, verificatisi a distanza di pochi giorni presso due distinti punti vendita. In entrambi i casi ignoti avevano ottenuto accesso abusivo alla web application aziendale dopo essersi procurati tutti i fattori di autenticazione mediante ingegneria sociale: avevano contattato telefonicamente un addetto del punto vendita chiedendo l’accesso remoto al dispositivo con la scusa di un’assistenza tecnica.
Il primo evento aveva comportato 66 interrogazioni puntuali della customer base, con violazione dei dati di circa 23 clienti. Il secondo, sfruttando una logica di enumerazione progressiva del codice cliente, aveva consentito circa due milioni di richieste, con compromissione dei dati anagrafici e di contatto di 365.048 clienti; per 41.359 interessati risultavano coinvolti anche i dati sul metodo di pagamento — bollettino postale, IBAN e carta di credito, quest’ultima limitata al numero parzialmente oscurato (PAN asteriscato) e alla data di scadenza.
All’esito dell’istruttoria, l’Ufficio ha contestato due profili di inadeguatezza: da un lato, una carente gestione dei certificati digitali e delle relative chiavi private, non custoditi mediante soluzioni sicure quali repository cifrati o sistemi dedicati di gestione delle chiavi; dall’altro, un’insufficiente protezione delle API, prive di adeguati meccanismi di rate limiting e di controllo tramite CAPTCHA, specie quanto alle interfacce secondarie sfruttate per l’enumerazione massiva.
Il percorso argomentativo dell’Autorità
Il Garante ricostruisce l’obbligo di sicurezza di cui all’art. 32, par. 1, lett. b), del Regolamento — assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento — come comprensivo, nel contesto accertato, sia della corretta importazione del certificato digitale nello store dei certificati del sistema operativo (in luogo della conservazione in chiaro) o, in alternativa, dell’uso di dispositivi sicuri quali smart card o token USB, sia dell’adozione di password manager integrati con password utilizzabili una sola volta (OTP), quale ulteriore fattore di autenticazione rispetto alla password statica.
Su un piano distinto, l’Autorità richiama l’OWASP API Security Top 10, qualificato «principale framework di riferimento del settore»: un’attività di vulnerability assessment e di penetration test realmente estesa a tutte le interfacce applicative — comprese quelle secondarie, non ritenute a rischio dalla società — avrebbe ragionevolmente consentito di individuare in anticipo le carenze poi sfruttate, con conseguente violazione anche dell’art. 5, par. 1, lett. f), del Regolamento sotto il profilo dell’integrità e della riservatezza.
Di particolare interesse è il passaggio con cui il Garante disattende l’argomento difensivo secondo cui imporre un password manager ai punti vendita — non di proprietà della società e operanti tramite collaboratori non subordinati — sarebbe stato di difficile attuazione. L’Autorità chiarisce che è onere del titolare del trattamento individuare le misure di sicurezza adeguate al rischio e fornire le relative istruzioni ai propri responsabili ex art. 28 del Regolamento, senza che ciò incida sulla natura giuridica del rapporto contrattuale con la rete di vendita indiretta.
Le misure correttive e la sanzione
Il Garante ha ingiunto alla società, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di custodire i certificati digitali in repository cifrati o sistemi dedicati di gestione delle chiavi, di implementare l’uso di password manager per i punti vendita e di formalizzare le procedure di gestione del ciclo di vita di certificati e credenziali (emissione, distribuzione, revoca e rinnovo), eventualmente tramite key management system o hardware security module.
Quanto alla sanzione pecuniaria, irrogata ex art. 58, par. 2, lett. i), del Regolamento, sono stati valorizzati, in aggravamento, il numero particolarmente elevato di interessati e la diligenza professionale non adeguata al rischio, su certificati e controlli API; in attenuazione, la tempestività e l’ampiezza delle misure correttive post evento, l’assenza di precedenti pertinenti, la cooperazione con l’Autorità e la notifica spontanea dei data breach. La sanzione è stata determinata in 1.715.600 euro, pari all’1% del massimo edittale applicabile (171.560.000 euro) e allo 0,04% del fatturato, con la sanzione accessoria della pubblicazione del provvedimento sul sito del Garante ex art. 166, comma 7, del Codice privacy, ferma la definizione agevolata ex art. 166, comma 8.
Considerazioni conclusive
Il provvedimento offre un parametro concreto per valutare l’adeguatezza delle misure ex art. 32 nei contesti con reti di vendita indiretta o canali distributivi affidati a terzi: il titolare non può invocare la natura non subordinata del rapporto con i rivenditori per giustificare l’assenza di presidi minimi sulla gestione delle credenziali, dovendo piuttosto strutturarli come obblighi contrattuali vincolanti. Sul piano operativo, l’errore del singolo addetto — bersaglio tipico dell’ingegneria sociale — non elide la responsabilità del titolare quando le carenze organizzative trasformano un accesso isolato in un’esfiltrazione massiva.
In sintesi
Riepilogando, nel presente articolo si sono affrontati i seguenti aspetti:
1 – il provvedimento del Garante privacy 14 maggio 2026, n. 348, su due data breach da social engineering ai danni della rete di vendita indiretta di una società di telecomunicazioni;
2 – la riconduzione all’art. 32, par. 1, lett. b), GDPR della custodia sicura dei certificati digitali e dei password manager integrati con OTP quale ulteriore fattore di autenticazione;
3 – il richiamo dell’OWASP API Security Top 10 e l’estensione di vulnerability assessment e penetration test a tutte le API, comprese le interfacce secondarie;
4 – l’irrilevanza della natura non subordinata del rapporto con i punti vendita rispetto all’onere del titolare di imporre misure e istruzioni adeguate;
5 – la sanzione di 1.715.600 euro, con aggravanti e attenuanti, e le misure correttive ingiunte ex art. 58, par. 2, lett. d), GDPR.
Domande frequenti
Perché il titolare risponde di un data breach causato da ingegneria sociale? Perché l’errore umano non esclude la responsabilità: l’art. 32 GDPR impone misure capaci di contenere gli effetti della compromissione di singole credenziali (custodia cifrata dei certificati, OTP, limiti automatici sulle chiamate API).
Quali misure sulle API sono esigibili? Rate limiting sulle API sensibili, sistemi CAPTCHA e verifiche periodiche estese a tutte le interfacce, comprese le secondarie, secondo le categorie dell’OWASP API Security Top 10.
Il titolare può invocare l’autonomia contrattuale della rete di vendita? No: è suo onere individuare le misure adeguate al rischio e impartire le istruzioni ai responsabili del trattamento, senza incidenza sulla natura giuridica del rapporto.
Come è stata quantificata la sanzione? In 1.715.600 euro: 1% del massimo edittale (171.560.000 euro) e 0,04% del fatturato, bilanciando aggravanti (interessati coinvolti, diligenza inadeguata) e attenuanti (misure tempestive, cooperazione, notifica spontanea).
Avv. Adamo Brunetti