Accesso illecito dati aziendali: distinte di bonifico visibili su intranet. Il caso mostra i rischi di una gestione errata dei permessi.
Dati retributivi esposti: il caso di accesso illecito nell’intranet aziendale
Il Garante per la protezione dei dati personali ha sanzionato un’azienda per accesso illecito ai dati aziendali dopo che alcuni dipendenti avevano potuto consultare, tramite l’intranet interna, le distinte dei bonifici dei colleghi. Il caso dimostra come anche errori apparentemente tecnici nella gestione dei sistemi informatici possano tradursi in gravi violazioni del GDPR, soprattutto quando coinvolgono dati economici e retributivi dei lavoratori.
Cosa è accaduto
L’azienda aveva reso disponibili sulla propria intranet aziendale le distinte dei bonifici effettuati per il pagamento degli stipendi. In pratica, ogni dipendente poteva visualizzare i documenti relativi non solo al proprio stipendio, ma anche a quello dei colleghi, accedendo così a informazioni riservate come importi, IBAN e riferimenti bancari.
L’anomalia è stata segnalata da un lavoratore che, accedendo alla piattaforma, ha notato la presenza di documenti non di sua pertinenza. L’accaduto ha portato all’apertura di un’istruttoria da parte del Garante Privacy.
Dalle verifiche è emerso che l’evento era dovuto a un errore umano dei reparti Risorse Umane e Finance, che avevano caricato file contenenti dati retributivi e bancari in una cartella condivisa (“SEPA”) accessibile a personale non autorizzato.
L’azienda ha rimosso i file entro 24 ore dalla segnalazione e ha aggiornato i modelli di distinta eliminando i riferimenti identificativi ai dipendenti.
Le violazioni riscontrate dal Garante per la Protezione dei Dati Personali
Dall’analisi condotta dall’Autorità è emerso che l’azienda non aveva adottato misure tecniche e organizzative adeguate a prevenire l’accesso illecito ai dati aziendali.
Nel provvedimento, il Garante ha fondato la propria decisione su tre profili normativi principali del GDPR, chiarendo aspetti rilevanti in materia di accountability, minimizzazione e protezione dei dati fin dalla progettazione:
- Art. 5, par. 1, lett. f) – Integrità e riservatezza
I dati personali devono essere trattati in modo da garantire un’adeguata sicurezza, anche rispetto a trattamenti non autorizzati. La disponibilità involontaria dei dati di circa 20 dipendenti in un’area comune dell’intranet costituisce una violazione diretta di tale principio. - Art. 24 – Responsabilità del titolare del trattamento
Il titolare deve adottare misure tecniche e organizzative idonee a dimostrare la conformità al Regolamento. L’assenza di controlli e policy efficaci per prevenire l’accesso a documenti contenenti dati personali ha evidenziato una carenza di governance e supervisione del rischio privacy.
Per approfondire > Articolo 28 GDPR: il responsabile e i sub responsabili del trattamento - Art. 25 – Privacy by design e by default
Solo dopo l’incidente la società ha modificato i modelli di distinta, eliminando i nomi dei dipendenti, segno che tali informazioni non erano necessarie alle finalità del trattamento. Il Garante ha quindi rilevato la mancata applicazione preventiva dei principi di minimizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.
Per saperne di più > Privacy by design e privacy by default: definizioni e differenze
La decisione del Garante Privacy
Il Garante ha ritenuto il comportamento dell’azienda una chiara violazione degli articoli 5, 24 e 25 del Regolamento (UE) 2016/679, relativi rispettivamente ai principi di trattamento, alla protezione dei dati fin dalla progettazione e alle misure di sicurezza.
Nonostante l’assenza di dolo, l’Autorità ha evidenziato che la negligenza nella gestione dei profili di accesso rappresenta una mancanza di adeguata protezione dei dati dei lavoratori.
L’azienda è stata sanzionata e invitata a rivedere l’intera configurazione della piattaforma intranet, introducendo politiche di accesso basate su ruoli e privilegi, oltre a una formazione mirata per il personale IT.
L’azienda si è dimostrata disposta a collaborare, rimuovendo tempestivamente i file esposti e adottando misure correttive per evitare il ripetersi dell’incidente.
Alla luce di tali elementi, il Garante ha applicato una sanzione amministrativa di 10.000 euro, ritenendo comunque necessario sanzionare la violazione per la sua gravità e per la natura dei dati coinvolti.
Cosa possono imparare le aziende
Il caso evidenzia che l’accesso illecito ai dati aziendali può avvenire anche senza intenti malevoli, semplicemente a causa di configurazioni errate o mancanza di consapevolezza.
Per evitare sanzioni e danni reputazionali, è fondamentale che le aziende:
- effettuino regolarmente una valutazione dei rischi sui propri sistemi informativi;
- traccino ogni accesso ai dati personali;
- formino periodicamente il personale sui principi di protezione dei dati.
Il caso offre importanti chiarimenti sull’applicazione degli articoli 5, 24 e 25 del GDPR, rafforzando l’interpretazione secondo cui i principi di accountability, minimizzazione e data protection by design e by default devono essere concretamente applicati in ogni fase del trattamento, anche nei flussi interni di gestione amministrativa.
Per vedere il provvedimento completo clicca qui.
GDPRLab aiuta la tua azienda a verificare il livello di conformità al GDPR, individuare le lacune e pianificare gli interventi necessari per colmarle. È il punto di partenza per creare un sistema di gestione dei dati davvero sicuro e conforme.
