Nei servizi online, sussiste un preciso obbligo giuridico di garantire la riservatezza e l’integrità dei dati personali.

L’utente, che accede al sito web dell’ Ente per fruire dei servizi online, non deve essere esposto ai rischi che incombono sui dati nei trattamenti on line tra i quali possono essere annoverati anche il rischio di possibile clonazione del sito web per fini di phishing e il rischio di furto di identità.

In particolare, il rischio di furto di identità sussiste laddove, all'interno dell'area utente viene realizzata la sezione Anagrafica all'interno della quale risultano consultabili dati personali dell’utente, quali nome e cognome, indirizzo, codice fiscale/P.IVA, numero di telefono,indirizzo di posta elettronica, codice utente, e tipo di servizio fruito.

L’utente, infatti, per utilizzare i servizi online, deve trasferire o scambiare i dati personali tra il proprio browser e il server che ospita il sito web istituzionale dell’Ente. Se, tuttavia, accedendo al sito, l’utente teme per la riservatezza e l’integrità dei propri dati, può rivolgersi al Servizio protezione dati (DPO) dell’Ente o al Garante o a entrambi.

A seguito della segnalazione al DPO o a seguito del reclamo al Garante, entrambi i Servizi di protezione dei dati personali intervengono, ciascuno in relazione alle proprie specifiche competenze.

L’intervento del Garante, in particolare, si concretizza nell’avvio, nei confronti dell’Ente, del procedimento di accertamento e di dichiarazione dell’eventuale illiceità del trattamento dei dati dell’utente nell’ambito dei servizi online. La dichiarazione di illiceità comporta l'irrogazione di una sanzione amministrativa di natura pecuniaria.

E’ quanto avvenuto pochi mesi fa, alla fine del 2022, quando è stata irrogata, nei confronti di Servizio Idrico Integrato S.c.p.a, la sanzione di 15.000,00 euro per violazione dell’obbligo giuridico di garantire la riservatezza e l’integrità dei dati personali nei servizi online. E’ stato accertato che la società si avvaleva del protocollo di rete “http”.

Il caso merita di essere attenzionato in quanto lo stato attuale di avanzamento della cultura della protezione dei dati dovrebbe basarsi su misure tecniche di sicurezza adeguate a garantire la riservatezza e l’integrità dei dati. Il protocollo di rete “http” non può essere considerato una misura tecnica idonea a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento online. Inoltre, non consente all'utente di verificare l’autenticità del sito web visualizzato.

Tali valutazioni, di non adeguatezza del protocollo di rete “http”, valgono anche se il sito dell’Ente è stato realizzato in data anteriore all’entrata in vigore del GDPR ( 25 maggio 2018).

Anche in questo caso, il trattamento online viola il principio, sancito dal GDPR, di integrità e riservatezza dei dati trattati, in base al quale l’Ente deve mettere in atto misure tecniche idonee a garantire un livello di sicurezza adeguato al rischio, come la cifratura dei dati personali. Viola altresì il principio di protezione dei dati fin dalla progettazione, in attuazione del quale l’Ente deve mettere in atto, fin dalla progettazione del sito web, misure tecniche adeguate a tutelare i dati personali e deve successivamente effettuare revisioni periodiche delle misure di sicurezza applicate al sito web.

Tenuto conto dei suddetti principi, per garantire un livello di sicurezza adeguato al rischio l’Ente deve utilizzato il protocollo SSL (Secure Socket Layer), che garantisce una migliore sicurezza a fronte dei rischi di furto di identità sempre presenti nell’interazione web con normali protocolli http in chiaro.

Infatti, il ricorso a tecniche crittografiche è, allo stato attuale della tecnologia disponibile, la misura tecnica da adottare, tra le altre, per proteggere i dati durante la loro trasmissione sulla rete internet. Al riguardo, i numerosi provvedimenti del Garante, adottati nel corso degli ultimi due anni, e relativi alla sicurezza per i trattamenti dei dati online, dimostrano l'importanza e l’attualità del tema (provv.ti 10 giugno 2021, n. 235, doc. web n. 9685922; 2 dicembre 2021, n. 422, doc. web n. 9734884; 2 dicembre 2021, n. 423, doc. web n. 9734934; 27 gennaio 2022, n. 34, doc. web n. 9746448; 24 marzo 2022, n. 107, doc. web n. 9767635; 26 maggio 2022, n. 201, doc. web n. 9790365).

Ne consegue che l'ennesimo provvedimento (n. 328/2022) del Garante per la mancata utilizzazione, riscontrata solo pochi mesi fa, del protocollo SSL, che causa la violazione dei principi del GDPR, deve indurre l’Ente a:

• programmare, nel 2023, una revisione delle misure di sicurezza applicate al sito web e ai servizi online.

Team Entionline

Servizio di supporto specialistico All privacy Entionline