85.000 euro di multa. 61.000 persone colpite. Tutto è partito da una password non protetta e da una notifica in ritardo. Il Garante Privacy ha colpito ancora: ecco cosa è successo e cosa devi sapere.
Il Garante per la protezione dei dati personali ha sanzionato The European House – Ambrosetti, uno dei più noti think tank italiani, con una multa da 85.000 euro per un data breach che ha coinvolto oltre 61.000 persone.
Non si tratta di un’azienda sprovveduta: Ambrosetti è una realtà di primo piano, frequentata da ministri, CEO e leader internazionali. Eppure nemmeno loro erano al sicuro. E questo ci dice qualcosa di molto importante.
Cosa è successo
La violazione è avvenuta a causa di password non adeguatamente protette. Un’insufficienza tecnica apparentemente banale, ma sufficiente a esporre i dati personali di decine di migliaia di persone: nomi, email, informazioni di contatto e potenzialmente molto altro.
Il secondo problema, che ha aggravato la sanzione, è stato il ritardo nella notifica. Il GDPR è chiaro: in caso di data breach, l’azienda ha 72 ore per notificare il Garante e deve informare le persone coinvolte senza ingiustificato ritardo. Ambrosetti non ha rispettato questi tempi, e questo ha contribuito all’entità della sanzione.
Perché questo caso riguarda anche la tua azienda
Potresti pensare: “io non sono Ambrosetti, gestisco dati di qualche centinaio di clienti, non mi riguarda.” Sbagliato. Il GDPR si applica a qualsiasi organizzazione che tratti dati personali, indipendentemente dalle dimensioni.
Se hai un CRM con i dati dei tuoi clienti, un gestionale con i dati dei dipendenti, o anche solo una mailing list: sei soggetto alle stesse regole. E le sanzioni, pur proporzionali, possono essere devastanti per una PMI.
Le tre cose che devi avere in ordine oggi
1. Password e accessi sicuri
Password complesse e uniche per ogni sistema. Autenticazione a due fattori attivata ovunque. Nessun accesso condiviso tra più utenti. Cambio delle credenziali quando un dipendente lascia l’azienda. Sono le basi, ma mancano nella maggior parte delle aziende.
2. Un piano di risposta agli incidenti
Se subisci un data breach, hai 72 ore per notificare il Garante. Sai già cosa fare? Chi chiami? Hai i contatti di un consulente privacy? Hai un registro dei trattamenti aggiornato? Se non hai risposta a queste domande, il momento di prepararsi è adesso — non durante l’emergenza.
3. Comunicare alle persone coinvolte
Oltre al Garante, devi informare anche le persone i cui dati sono stati violati quando c’è un rischio elevato per i loro diritti. Ritardare questa comunicazione, come ha fatto Ambrosetti, aggrava la violazione e aumenta le sanzioni.
Il costo della non conformità
Le sanzioni del GDPR possono arrivare fino al 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale cifra sia più alta. Per le PMI, anche sanzioni più contenute possono avere un impatto significativo.
Ma il danno economico diretto è spesso inferiore al danno reputazionale. I clienti che scoprono che i loro dati non sono stati protetti raramente perdonano. E in un mercato in cui la fiducia è tutto, perdere la reputazione può costare molto più di una multa.
La protezione dei dati personali non è burocrazia: è rispetto verso i tuoi clienti e dipendenti, ed è protezione per la tua azienda. Hai dubbi sulla conformità al GDPR o sulla sicurezza dei tuoi sistemi? Scrivimi, posso aiutarti a fare una valutazione.