Telemarketing e illecito trattamento di dati personali: il Garante Privacy sanziona Vodafone per oltre 12 milioni di euro

2020-11-23T10:04:07+01:0023 Nov 2020|Categorie: Articolo, In evidenza|Tag: , , , , , , |

L’Autorità garante per la protezione dei dati personali (“Garante Privacy” o “Autorità”) - con il provvedimento n. 224 del 12 novembre 2020 - ha irrogato a Vodafone Italia S.p.A. (“Vodafone” o “Società”) una sanzione pecuniaria pari a 12.251.601 euro per aver trattato in modo illecito i dati personali di milioni di utenti a fini di telemarketing. La sanzione è stata comminata all’esito di una complessa istruttoria avviata dal Garante Privacy a seguito di centinaia di segnalazioni e reclami inviati da interessati, che lamentavano continui contatti telefonici indesiderati effettuati dalla Società per promuovere i propri servizi di telefonia e internet. Gli accertamenti svolti dall’Autorità hanno evidenziato importanti criticità “di sistema”, che riguardano la violazione di numerose previsioni del Regolamento (UE) 2016/679 (“Regolamento” o “GDPR”), tra cui i principi di privacy by design (art. 25, GDPR)[1] e di responsabilizzazione (art. 24, GDPR)[2], nonché l’obbligo di adottare idonee misure di sicurezza (art. 32, GDPR)[3]. In particolare, nel corso dell’istruttoria è emerso che la Società non ha implementato controlli sulla filiera dei dati personali acquisiti nella fase di promozione dei servizi, idonei a escludere contatti provenienti da numerazioni sconosciute (riconducibili al “sottobosco” dei call center abusivi) e, in generale, a garantire la correttezza dell’attività [...]

Data breach di Unicredit S.p.A.: il Garante Privacy irroga una sanzione pari a 600 mila Euro

2020-07-13T11:53:15+02:0020 Giu 2020|Categorie: Articolo|Tag: , , |

Con ordinanza ingiunzione del 10 giugno 2020, a conclusione di una complessa attività istruttoria avviata a seguito di un data breach subìto e notificato da UniCredit S.p.A. (la “Banca” o “UniCredit”), l’Autorità Garante per la protezione dei dati personali (il “Garante Privacy” o l’”Autorità”) ha inflitto nei confronti della Banca una sanzione pari a 600 mila Euro in ragione degli accertati accessi abusivi ai dati personali superiore a 760 mila clienti. Gli accessi abusivi rilevati in due momenti temporalmente distinti, tra l’aprile del 2016 e il luglio del 2017, sono stati posti in essere utilizzando le utenze di alcuni dipendenti della società Penta Finanziamenti Italia S.r.l. (mandataria di UniCredit per il prodotto di cessione del quinto dello stipendio) attraverso un applicativo denominato “Speedy Arena”. La violazione riscontrata ha riguardato dati personali di tipo anagrafico e di contatto, dati relativi alla professione lavorativa e al livello di studio, estremi identificativi di documenti di riconoscimento, nonché informazioni dell’interessato relative al proprio datore di lavoro, salario, importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e codice Iban. ATTIVITA’ ISPETTIVA DEL GARANTE A seguito della notifica del data breach da parte della Banca, il Garante Privacy ha avviato un’istruttoria, terminata [...]

Modello di notifica di Data Breach

2019-08-08T10:48:26+02:0006 Ago 2019|Categorie: Articolo|Tag: , , |

Il Garante per la protezione dei dati personali ha pubblicato un modello da utilizzare per la notifica di violazione dei dati personali (c.d. data breach) prevista dall'art. 33 del GDPR, disponibile qui. I titolari di trattamento dei dati personali sono tenuti a notificare al Garante le violazioni dei dati personali che comportano accidentalmente o in modo illecito la distruzione, la perdita, la modificazione, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati, anche nell'ambito delle comunicazioni elettroniche, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati. La notifica deve essere inviata al Garante tramite posta elettronica all'indirizzo protocollo@pec.gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest'ultimo caso la notifica deve essere presentata unitamente alla copia del documento d'identità del firmatario. L'oggetto del messaggio deve contenere obbligatoriamente la dicitura “notifica violazione dati personali” e opzionalmente la denominazione del titolare del trattamento.

Data Breach Unicredit: interviene il Garante

2019-05-03T21:56:08+02:0002 Feb 2019|Categorie: Articolo|Tag: , , |

1. Il Provvedimento Del Garante In Breve Il Garante per la Protezione dei Dati Personali (o il “Garante”) è intervenuto con il provvedimento n. 499 del 13 dicembre 2018 (o il “Provvedimento”) in merito alla violazione di dati personali (il “Data Breach”) conseguente ad un attacco informatico al sistema di online banking di Unicredit S.p.A. (o “Unicredit”). Il Data Breach ha interessato i REB code (codice identificativo personale per l’accesso al sistema di online banking) di 731.519 clienti della banca (o gli “Interessati”). A seguito del Data Breach il Garante ha ingiunto all’istituto bancario (i) di comunicare il Data Breach dei dati personali agli Interessati a cui non era ancora stata comunicata; (ii) di dare riscontro al Garante in merito a tale comunicazione nonché riguardo alle misure adottate per attenuare i possibili effetti negativi del Data Breach nei confronti degli Interessati. 2. Il contesto fattuale Il 22 ottobre 2018 Unicredit ha notificato al Garante un Data Breach di dati personali ai sensi dell’art. 33 del Regolamento (UE) n. 2016/679 (o il “GDPR”). In particolare il Garante veniva informata che il giorno precedente alla notifica (21 ottobre 2018) i sistemi di controllo interno di Unicredit avevano rilevato dei tentativi, provenienti dall’esterno, di [...]

Torna in cima