Un sistema documentale mal configurato può trasformarsi in una violazione sistematica della privacy. È quanto emerge dal recente intervento del Garante per la protezione dei dati personali nei confronti della Città metropolitana di Sassari, dove una gestione superficiale degli accessi ha generato un data breach significativo. Il caso offre una lezione concreta per enti pubblici e aziende private sull’importanza del principio need-to-know e della corretta amministrazione dei privilegi.
Il caso Sassari: cosa è successo
All’interno dell’ente sardo, un dipendente aveva accesso a un sistema di gestione documentale contenente dati personali di altri lavoratori e cittadini, senza che le sue mansioni lo richiedessero. In altre parole, i permessi non erano stati limitati in base al ruolo, permettendo la visualizzazione di informazioni che andavano ben oltre le effettive necessità operative. Questa errata configurazione ha determinato un trattamento non autorizzato di dati, configurando una violazione del Regolamento generale sulla protezione dei dati (GDPR) e della normativa nazionale.
Il Garante, intervenuto a seguito della notifica del data breach o di una segnalazione, ha accertato la mancata adozione di misure tecniche e organizzative adeguate a garantire la riservatezza e l’integrità dei dati. L’assenza di una profilatura granulare degli utenti ha di fatto reso il sistema esposto a rischi interni, spesso sottovalutati ma altrettanto pericolosi quanto gli attacchi esterni.
La violazione del principio need-to-know
Al centro della vicenda c’è il principio della minimizzazione dei dati: ogni operatore deve poter accedere solo alle informazioni indispensabili per svolgere il proprio lavoro. Nel caso di Sassari, la mancata applicazione di questo criterio ha portato a un accesso indifferenziato a dati sensibili, vanificando le politiche di sicurezza. Non si trattava di un attacco informatico, ma di una falla organizzativa che ha esposto l’ente a conseguenze amministrative e reputazionali.
Il GDPR richiede che i titolari del trattamento implementino controlli di accesso basati su ruoli e verifichino periodicamente l’adeguatezza dei privilegi concessi. La semplice presenza di credenziali non è sufficiente se poi ogni utente può navigare liberamente tra le cartelle. Il caso Sassari dimostra che anche gli enti pubblici, pur dotati di risorse dedicate, possono cadere in simili errori se non viene condotta una revisione costante.
Le implicazioni per enti e aziende
Oltre alla violazione normativa, il danno per un’organizzazione può essere duplice: da un lato, le sanzioni del Garante, che possono raggiungere cifre elevate in base alla gravità dell’infrazione; dall’altro, la perdita di fiducia da parte di cittadini e utenti, sempre più attenti alla gestione dei propri dati. Inoltre, un accesso non configurato può aprire la strada a esfiltrazioni non rilevate, con conseguenze ancora più gravi se i dati finiscono in mani sbagliate.
Il provvedimento del Garante non è solo un richiamo per la pubblica amministrazione, ma un monito per qualsiasi realtà che tratti informazioni personali su larga scala. La lezione di Sassari vale per uffici HR, studi professionali, piattaforme cloud: ogni account deve essere associato a un profilo preciso e monitorato. L’approccio “troppi privilegi” è spesso la scorciatoia che si rivela un boomerang.
Cosa significa per chi legge
Per chi opera nella gestione dati, il caso porta tre indicazioni pratiche: primo, effettuare un audit dei permessi attuali per identificare account con accessi eccessivi o non più necessari; secondo, implementare politiche di attribute-based access control o role-based access control che riflettano realmente l’organigramma e le funzioni; terzo, formare il personale sul corretto utilizzo dei sistemi e sui rischi connessi a una navigazione senza vincoli.
Per i cittadini, la vicenda è l’ennesimo promemoria sull’importanza di conoscere chi gestisce i propri dati e con quali modalità. La trasparenza degli enti pubblici e delle aziende sulla gestione degli accessi è un diritto che va esercitato anche attraverso richieste di chiarimento. La sicurezza, in fondo, parte dal presupposto che meno occhi vedono, meno pericoli ci sono.