Relazione 2023 del Garante - l'omessa crittografia dei siti

4.7. Servizi online e misure di sicurezza

A seguito di una segnalazione, è stata avviata un’istruttoria nei confronti di una
società di servizi di elaborazione dati, interamente partecipata da un comune, che
svolge in regime di in house providing i servizi relativi al supporto informatico, assi-
stenza e consulenza, sviluppo e manutenzione del software, nonché attività di ammi-
nistrazione dei sistemi informativi dell’ente.

L’istruttoria ha accertato che l’accesso
da rete pubblica alla intranet aziendale della predetta società risultava possibile con
protocollo di comunicazione HTTP, rendendo, in tal modo, la comunicazione uten-
te-server priva di protezione e di garanzie a tutela della riservatezza e dell’integrità
dei dati scambiati tra il browser dell’utente e il server che ospitava la intranet della
società, nonché inidonea a consentire agli utenti di verificare l’autenticità del sito web
visualizzato.

L’utilizzo di tecniche crittografiche, allo stato, è una delle misure comu-
nemente adottate per proteggere, in particolar modo, le credenziali di autenticazione
degli utenti di un sito/servizio online durante la loro trasmissione su rete internet,
tenuto conto degli elevati rischi presentati dal Trattamento di tali dati che possono
derivare dall’accesso non Autorizzato agli stessi o dalla loro divulgazione, anche in ra-
gione della tendenza di molti utenti a riutilizzare la stessa password, o comunque una
password molto simile, per l’accesso a diversi servizi online.

Per tali motivi, ritenuto
che il mancato utilizzo di tecniche crittografiche per la trasmissione dei dati configu-
rasse una violazione dell’art. 5, par. 1, lett. f ) e dell’art. 32 del RGPD, il Garante ha
adottato nei confronti della società un provvedimento correttivo per avere trattato i
dati in violazione del RGPD (provv. 31 agosto 2023, n. 362, doc. web n. 9935548;
cfr. par. 4.8. per ulteriori profili di inosservanza da parte della stessa società).