Furto dati negli alberghi: il Garante Privacy avvia verifiche

Il Garante per la protezione dei dati personali tramite un press release del 13 agosto scorso ha reso noto di aver avviato un’indagine a seguito della segnalazione di pesanti violazioni dei sistemi informatici di alcune strutture ricettive italiane. La vicenda ha comportato la sottrazione di migliaia di scansioni ad alta risoluzione di documenti di identità, come passaporti e carte d’identità e altri documenti, utilizzati dai soggiornanti al momento del check-in. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon. Per approfondire questi temi abbiamo organizzato il corso di formazione Master in Cybersecurity e compliance integrata

1. Portata dei furti di dati

Secondo quanto riportato nel comunicato ufficiale pubblicato sul website istituzionale del Garante, alcune strutture hanno notificato sollecitamente la violazione, così attivando le misure di tutela rese disponibili dalla normativa vigente. Tuttavia, altre non hanno ancora provveduto a segnalare l’accaduto. Il Garante ha quindi sollecitato tutte le strutture implicate a comunicare immediatamente ogni anomalia, al fine di avviare iniziative urgenti a tutela della riservatezza dei dati personali. Il furto di documenti di riconoscimento rappresenta una minaccia concreta per la sicurezza dei dati e per l’identità degli interessati. Il Garante ha al contempo invitato i cittadini che sospettano un utilizzo illecito dei propri documenti di identità a contattare direttamente le strutture alberghiere presso cui hanno soggiornato. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

2. Normativa violata e obblighi delle strutture ricettive

Il quadro normativo di riferimento è il Regolamento (UE) 2016/679 (GDPR) che disciplina la gestione dei data breach. In particolare, nella vicenda in parola risultano potenzialmente violate le seguenti norme:

• Art. 32 GDPR, Sicurezza del trattamento: impone l’adozione di misure tecniche e organizzative adeguate al fine di garantire un livello di sicurezza proporzionato al rischio.
• Art. 33 GDPR, Notifica di una violazione dei dati personali all’autorità di controllo: obbliga il titolare del trattamento a notificare la violazione entro il termine di 72 ore.
• Art. 34 GDPR, Comunicazione della violazione agli interessati: prevede l’obbligo di informare i soggetti implicati ove la violazione comporti un rischio elevato per i loro diritti e libertà.

L’omesso rispetto di tali obblighi può comportare sanzioni amministrative importanti, fino a 10 milioni di euro o al 2% del fatturato annuo globale, così come statuito dall’art. 83 del GDPR.

Potrebbero interessarti anche:

• ACN: buone pratiche di cybersecurity per i dipendenti delle P.A.
• NIS2: scade la proroga al 31 luglio per i soggetti che hanno chiesto assistenza

3. Responsabilità e buone pratiche

Infine, il Garante ha esortato gli operatori del settore turistico a impiegare modalità sicure per il trattamento dei dati, come il portale “Alloggiati Web” gestito dalla Polizia di Stato. Tale sistema, già previsto dalla normativa italiana per la comunicazione dei dati degli ospiti, offre un’infrastruttura maggiormente sicura rispetto a soluzioni locali non adeguatamente protette. La vicenda evidenzia l’importanza di una corretta gestione dei dati personali pure in ambiti apparentemente “non tecnologici” come quello alberghiero. Le strutture ricettive, in qualità di titolari del trattamento, hanno l’obbligo di garantire non solamente la sicurezza fisica dei propri ospiti, bensì pure quella digitale, adottando misure preventive e reattive in ipotesi di sinistri.

4. Fenomeno sempre più frequente

L’intervento del Garante è un richiamo alla responsabilità per l’intero settore, sovente sottaciuto in termini di cybersecurity. La protezione dei dati personali non rappresenta solamente un obbligo giuridico, bensì è un pillar sostanziale per la fiducia dei clienti e per la reputazione delle strutture. In un contesto in cui i furti di identità e le frodi digitali si contano in costante aumento, la vigilanza e la compliance al GDPR diventano strumenti imprescindibili per assicurare la sicurezza e la legalità del trattamento dei dati.

Formazione per professionisti

Master in Cybersecurity e compliance integrata
Il Master è un percorso formativo avanzato per imprese e pubbliche amministrazioni, professionisti, DPO e consulenti legali che operano nel settore della sicurezza informatica e della governance normativa delle tecnologie digitali.
L’obiettivo del programma è fornire una visione sistematica e integrata della normativa europea e italiana in materia di cybersicurezza, affrontando in chiave applicativa gli step degli adempimenti richiesti, e la complessa interazione delle normative di riferimento, dalla Direttiva NIS 2 al GDPR, alla regolamentazione dei sistemi di intelligenza artificiale, passando per i regolamenti complementari e gli atti attuativi nazionali.
Attraverso un approccio teorico-pratico, il Master esplora: 
•  L’evoluzione della strategia europea di cybersicurezza
•  L’impianto della Direttiva NIS 2 e il D.lgs. 138/2024, con approfondimento su soggetti obbligati, misure tecniche e regimi sanzionatori
•  Il perimetro nazionale di sicurezza cibernetica e la Legge n. 90/2024 come strumenti di difesa strategica dello Stato
•  Le interazioni con normative chiave come il GDPR, il Cybersecurity Act, il Digital Operational Resilience Act (DORA) e il Cyber Resilience Act (CRA)
•  Il nuovo AI Act, che disciplina lo sviluppo, l’uso e il controllo dei sistemi di intelligenza artificiale in Europa
•  Ruoli e poteri dell’ACN: atti attuativi e misure tecniche
•  Le responsabilità aziendali e degli amministratori, la governance interna della cybersicurezza e le strategie di compliance integrata
Il percorso è arricchito da esempi pratici, simulazioni di audit, check list operative e riferimenti normativi aggiornati, utili per implementare con efficacia le disposizioni di legge nei diversi contesti organizzativi.
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!