Germania: sanzione da 45 milioni di euro a Vodafone per violazione del GDPR
Il Commissario federale per la protezione dei dati e la libertà di informazione della Germania (Bundesbeauftragter für Datenschutz und Informationsfreiheit – "BfDI") ha inflitto una sanzione di 45 milioni di euro a Vodafone per non aver controllato le agenzie partner che avevano usato i dati personali dei clienti senza consenso e per delle vulnerabilità che hanno permesso di accedere ai profili eSIM.
L’autorità tedesca ha scoperto che alcuni dipendenti delle agenzie partner utilizzavano i dati dei clienti per sottoscrivere contratti fittizi o per cambiare le condizioni di quelli esistenti, senza nessuna autorizzazione.
Da parte sua, Vodafone non ha monitorato adeguatamente l’operato delle agenzie, violando quindi il comma 1 dell’art. 28 del GDPR, il quale prescrive che “qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato.”
La seconda contestazione mossa contro Vodafone riguarda la sicurezza. A causa di alcune vulnerabilità presenti nel portale My Vodafone era possibile l’autenticazione non autorizzata di terze parti e l’accesso ai profili eSIM degli utenti. Questa è una violazione del comma 1 dell’art. 32 del GDPR, che richiede l’adozione di “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”.
Nel dettaglio, per il mancato controllo delle agenzie partner è stata inflitta una sanzione di 15 milioni di euro, mentre la multa per le vulnerabilità ammonta a 30 milioni di euro. Il Commissario federale per la protezione dei dati e la libertà di informazione tedesco ha dichiarato che Vodafone ha collaborato durante i procedimenti, fornendo tutte le informazioni richieste.
L’operatore telefonico ha già pagato la sanzione per un importo complessivo di 45 milioni di euro, inoltre ha già migliorato i sistemi in termini di sicurezza e annullato i contratti con le agenzie responsabili dell’uso illecito dei dati. Il garante effettuerà una successiva verifica delle misure adottate da Vodafone. Secondo quanto riporta Bloomberg, un portavoce di Vodafone ha rinnovato l’impegno dell’azienda per la protezione dei dati dei propri clienti.
