La password va custodita bene! Monito del Garante privacy

Imprese e p.a. sono custodi delle password dei loro clienti e utenti: devono tenerle al riparo da occhi indiscreti e ladri digitali. Altrimenti ci rimettono di tasca propria, sia in risarcimenti di danni alle persone cui si riferiscono le credenziali sia in sanzioni amministrative per violazione della privacy.

Lo scenario.

Imprese e pubbliche amministrazioni mantengono sui propri sistemi informatici le password scelte e usate da clienti e cittadini per l’accesso ai servizi in rete. Molto spesso si tratta di password di un numero elevato di interessati sia in ambito pubblico sia in ambito privato. Si pensi, per esempio, ai gestori dell’identità digitale Spid, a gestori di posta elettronica certificata, gestori di servizi di posta elettronica ordinaria, banche, assicurazioni, operatori telefonici, strutture sanitarie. Il Garante sottolinea il caso di soggetti che accedono a banche dati di particolare rilevanza o dimensioni (per esempio dipendenti di pubbliche amministrazioni), oppure a categorie di utenti che abitualmente trattano dati sensibili o giudiziari (come professionisti sanitari, avvocati, magistrati).

Peraltro, secondo quanto sottolineato dallo stesso Garante, troppo spesso furti di identità sono causati dall’utilizzo di password archiviate in database non adeguatamente protetti con funzioni crittografiche e sono agevolati dalla diffusa cattiva abitudine di usare la stessa password (o una simile) per l’accesso a più sistemi informatici o servizi online. Insomma, il ladro è un delinquente, ma trova porte spalancate e casseforti aperte. Clienti e utenti concedono spazio alla propria pigrizia nell’utilizzo della stessa parola chiave come un passe-partout per una pluralità di applicazioni e piattaforme.

E le conseguenze sono tragiche. Il Garante riporta alcune statistiche, da cui emerge che le password rubate dai cybercriminali vengono utilizzate per entrare illecitamente nei siti di intrattenimento (35,6%), nei social media (21,9%) e nei portali di e-commerce (21,2%). In altri casi, permettono di accedere a forum e siti web di servizi a pagamento (18,8%) e finanziari (1,3%).

Tre scale di rimedi

Per fronteggiare i rischi da trascuratezze e avventatezze nella conservazione delle password, il Garante adotta una strategia su tre livelli.

Questa manipolazione a fin di bene è fatta con l’aiuto di algoritmi, i quali applicati alle password consentono la conservazione delle stesse non nella loro testualità, ma nella loro versione informatica rafforzata (hash).

Naturalmente ci sono diverse qualità di algoritmi, catalogabili quanto a efficacia e sicurezza. Al riguardo, Garante e Acn indicano, nelle linee guida, gli algoritmi di prima classe da usare per conservare le password.

Il secondo livello del contrasto al fenomeno della cattiva gestione delle password riguarda la conservazione, che deve essere non solo sicura, ma anche limitata nel tempo.

Tenere le password, anche se non più usate per un servizio, significa agevolare chi ci tenta comunque a usarle e scopre che sono ancora buone per un’altra piattaforma: e questo sempre per la ragione che l’utente sprovveduto e indolente ricicla su app diverse, ma a getto continuo, un numero limitato di password.

Ai fornitori, anche se sono estranei ai trattamenti, il Garante formula l’invito di mettere sul mercato applicazioni e servizi già in linea con gli standard di sicurezza, così da rendere automatiche la conservazione delle password in ambiente protetto.

Le conseguenze

Non osservare le prescrizioni adottate dal Garante e dall’Acn significa innanzitutto esporsi al rischio di sanzioni amministrative. Innanzi tutto, chi non rispetta le linee Guida Garante-Acn sulle funzioni crittografiche per la conservazione delle password si macchia della violazione di misure di attuazione del principio di integrità e riservatezza e della violazione degli obblighi in materia di sicurezza del trattamento, rispettivamente previsti dagli articoli 5, paragrafo 1, lett. f), e 32 del Regolamento UE sulla privacy n. 2016/679 (Gdpr): la sanzione prevista per le violazioni dell’articolo 32 arriva fino a 10 milioni di euro o, per le imprese, il 2% del fatturato annuo (se l’importo percentuale supera i 10 milioni di euro); la sanzione per le violazioni dell’articolo arriva 5 fino a 20 milioni di euro o, per le imprese, il 4% del fatturato annuo (se l’importo percentuale supera i 20 milioni di euro).

Inoltre, chi non osserva le indicazioni sui criteri da utilizzare per determinare il periodo di conservazione delle password si rende responsabile della trasgressione delle misure di attuazione del principio di limitazione della conservazione previsto dall’articolo 5, par. 1, lett. e), del Gdpr: anche per questa ipotesi la conseguente sanzione arriva a 20 milioni di euro o, per le imprese, alla superiore cifra del 4% del fatturato.

A tutto ciò, infine, va aggiunto che, in base all’articolo 82 Gdpr, il titolare del trattamento deve risarcire i danni materiali e immateriali causato da violazioni del Gdpr.

In proposito, si consideri che, secondo la Corte di giustizia dell’Unione europea, anche il solo timore di un potenziale uso improprio dei dati da parte di terzi, imputabile a imprese e pubbliche amministrazioni prive delle adeguate misure di sicurezza previste dal Gdpr, integra un danno morale, di cui si può chiedere il risarcimento (sentenza del 14/12/2023, resa nella causa C-340/21). Da tutto ciò deriva che, se un’impresa o una pubblica amministrazione non rispetta le precauzioni sulle password, non solo subisce sanzioni amministrative da parte del Garante, ma può essere chiamate davanti a un giudice civile a rispondere del danno immateriale consistente nel timore di un potenziale uso delle password sottratte dal cybercriminale, anche prima dell’effettivo utilizzo.

Sul punto si aggiunge che l’eventuale concorso dell’interessato che, imprudentemente ricicla le stesse password, potrà attenuare, ma non azzerare l’importo del risarcimento dovuto da imprese e p.a., se queste ultime non hanno seguito le disposizioni sulla sicurezza della conservazione delle credenziali.

(Fonte Italia Oggi -2 genn 2024)