Solo a maggio scorso, secondo quanto ha fatto sapere il Garante della Privacy, gli attacchi informatici in Italia sono stati 140. Non tutti vanno a segno, e non tutti sono di dimensioni internazionali, ma i data breach, le violazioni dei dati gestiti dalle aziende, sono un fenomeno diffuso.
Bastavano il cellulare e il codice fiscale di un cittadino della provincia di Milano per sapere se era risultato positivo al Covid-19. Inserendo quei due dati su Milano Cor, il portale creato dall’agenzia della tutela della salute ambrosiana (Ats) per raccogliere informazioni sui contagiati nella provincia più colpita d’Italia dalla seconda ondata di coronavirus, il sito dichiarava in chiaro se l’utente era già registrato. Un indizio più che sufficiente per inquadrarlo come un caso positivo al test del Sars-Cov-2.
Un recente caso (Provv. 16 settembre 2021, doc. web n. 9704069) affrontato dal Garante ha riguardato un reclamo con il quale si denunciava che sul sito di un Comune nell’area «Documenti e dati»/«Albo pretorio»/«storico» era possibile visualizzare e scaricare liberamente una Determinazione di liquidazione che riportava in chiaro, nel testo e nell’oggetto, dati e informazioni personali, quali il nominativo del reclamante e del padre a suo carico con indicazione della relativa situazione di disabilità in quanto portatore di handicap.
Una telecamera nascosta era stata piazzata nel bagno dell'ospedale per spiare infermiere e dottoresse mentre facevano la doccia. La vicenda è accaduta all'ospedale San Giuseppe di Empoli.
Il consenso, inizialmente rilasciato da un cliente ad una società anche per attività promozionali di terzi, non può estendere la sua efficacia anche a successive cessioni ad ulteriori titolari. Tali cessioni infatti non sarebbero supportate dal necessario consenso, specifico ed informato dell’interessato. Sulla base di questo principio, il Garante per la protezione dei dati personali ha comminato una sanzione di circa 3 milioni di euro ad Iren Mercato S.p.A., società operante nel settore energetico, per non aver verificato che tutti i passaggi dei dati dei destinatari delle promozioni fossero coperti da consenso.
Decine di lettere contenenti tessere sanitarie rinvenute abbandonate nei pressi di alcune cassette della posta nella zona Tivoli di Siracusa. La scoperta è stata fatta da alcuni residenti che hanno avvertito le forze dell’ordine.
Se i ritardi di Trenitalia sono notoriamente oggetto di polemiche da anni, stavolta il ritardo non riguarda un Frecciarossa, ma una comunicazione quantomeno intempestiva che il GDPR prescrive di inviare a chi ha subìto una grave violazione dei propri dati, così da potergli permettere di avere il tempo per correre ai ripari.
Numeri ufficiali non ce ne sono, ma una conferma sì. E basta per lanciare un allarme pesantissimo. Secondo fonti vicine alla Polizia Postale, infatti, il portale NoiPA sarebbe stato colpito da un attacco informatico che avrebbe consentito agli hacker di sottrarre stipendio e tredicesima di alcuni utenti.
Le aziende investono sempre più risorse in cybersicurezza per proteggere i loro dati, ma non sempre chi li viola è un hacker, e non sempre chi se ne appropria è un malintenzionato che attacca dall’esterno. Anzi, più del 50% delle organizzazioni intervistate nell’ambito di uno studio di Cyber Security Researcher hanno confermato che gli attacchi che hanno subìto a danno dei propri sistemi informatici sono avvenuti dall’interno. Ne è un esempio il caso di un dipendente del reparto IT di un centro di ricerca clinica per la diagnosi di malattie genetiche rare, che prima di lasciare il suo posto di lavoro ha copiato tutte le informazioni sensibili di 10.000 pazienti sia adulti che bambini.
La piattaforma cinese di videosharing TikTok sarà multata da Bruxelles per "violazione della privacy dei minori dell'Unione Europea". A esserne certa è la testata britannica The Guardian anticipando sul web che la sanzione, "potenzialmente da milioni", potrebbe essere comminata "entro le prossime quattro settimane".
