A Autoridade de Proteção de Dados (DPA) da Itália impôs uma multa de €800.000 a um operador de dados por não obter a autorização prévia do controlador antes de envolver um sub-operador e por falhar na notificação imediata de uma violação de dados pessoais. O caso envolve a UniCredit S.p.A., que atua como controlador de dados, e destaca as complexidades e responsabilidades compartilhadas no âmbito do Regulamento Geral sobre a Proteção de Dados (GDPR).

A violação, ocorrida entre 11 e 21 de outubro de 2018, foi resultado de um ataque cibernético ao portal bancário móvel gerido pela UniCredit S.p.A. Durante o ataque, foram tentados acessos às contas dos clientes utilizando PINs gerados automaticamente, explorando duas vulnerabilidades significativas do portal: a exposição de dados pessoais em respostas HTML a tentativas de autenticação e a permissão do uso de PINs simples, que facilitaram ataques de força bruta.

Esta falha de segurança permitiu que atacantes cibernéticos acessassem nomes, códigos fiscais e códigos de identificação bancária interna de 777.765 clientes atuais e antigos. Além disso, para 6.959 destes clientes, os atacantes conseguiram identificar os PINs de acesso ao portal, levando o controlador a bloquear os PINs identificados. Importante ressaltar que os dados bancários propriamente ditos dos titulares dos dados não estavam incluídos na violação.

A UniCredit S.p.A. decidiu não classificar a violação como de alto risco, optando por publicar um aviso geral em seu site e comunicar diretamente apenas aos 6.959 titulares de dados afetados. Contudo, após uma investigação preliminar, a DPA contestou essa avaliação, considerando a violação como potencialmente de alto risco para os direitos dos titulares dos dados.

A investigação revelou que a violação foi consequência da negligência da NTT Data Italia S.p.A. (o "operador"), responsável pelos testes de vulnerabilidade no portal e aplicativo móvel do controlador, em colaboração com a Truel IT S.r.l. (o "sub-operador"). Este último, contratado sem a devida autorização escrita prévia do controlador, detectou as vulnerabilidades em 10 de outubro de 2018, mas a notificação ao controlador só foi feita em 22 de outubro de 2018, após a identificação das vulnerabilidades como de alto nível pelo sub-operador em 19 de outubro.

A DPA enfatizou o papel fundamental do operador na habilitação do controlador para cumprir prontamente as obrigações estabelecidas nos artigos 32 a 36 do GDPR, incluindo a notificação de violações de dados pessoais. A decisão destacou que a obrigação de informar o controlador sem demora indevida, conforme estipulado no Artigo 33(2) do GDPR, recai sobre o operador inicial, independentemente da descoberta da violação pelo sub-operador. A falha em notificar o controlador entre 11 e 12 de outubro de 2018 constituiu uma violação deste artigo, assim como a contratação de um sub-operador sem autorização prévia violou o Artigo 28(2) do GDPR.

Com informações GDPR Hub