[doc. web n. 10305899]

Provvedimento del 28 maggio 2026*
*Parti del provvedimento omissate in pendenza del giudizio di opposizione

Registro dei provvedimenti
n. 392 del 28 maggio 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA la violazione di dati personali notificata all’Autorità il 4 febbraio 2025, ai sensi dell’art. 33 del Regolamento, da Ventis s.r.l. (anche in nome e per conto di XX) che ha riguardato il sito e-commerce https://... dalla stessa gestito; 

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. La violazione di dati personali. 

In data 4 febbraio 2025, Ventis s.r.l. (di seguito “Ventis” o “la Società”) ha notificato all’Autorità, ai sensi dell’art. 33 del RGPD, una violazione dei dati personali che ha riguardato il sito e-commerce https://... gestito dalla stessa che, per alcuni dati personali trattati dalla piattaforma, [OMISSIS]; per questa ragione la notifica in questione è stata effettuata anche in nome e per conto di XX. 

La violazione, di cui la Società è venuta a conoscenza, per il tramite del team di sicurezza di XX cui era pervenuta una segnalazione da parte di un utente, è stata determinata da una vulnerabilità del predetto sito e-commerce relativa, in particolare, alla funzionalità di reimpostazione della password che permetteva, a un soggetto non autorizzato, di ottenere il link di reset della stessa, direttamente dal sito, anziché riceverlo tramite e-mail.

In particolare, la Società, ha rappresentato che “sfruttando tale vulnerabilità, l’attaccante ha potuto verificare la registrazione di indirizzi e-mail e ottenere i rispettivi link di reimpostazione della password. Modificando le credenziali di accesso tramite l’apposito link, l’attaccante ha potuto accedere al profilo dei relativi utenti all’interno della piattaforma, profili che contengono dati di natura anagrafica (nome, cognome, codice fiscale), di contatto (numero di telefono e indirizzo di residenza, se salvati dall’utente), di pagamento (PAN cifrato della carta di pagamento, se salvato dall’utente)”.

La Società, nell’atto di notifica, ha inoltre precisato che, al momento, erano “ancora in corso indagini tecniche per individuare in dettaglio i sistemi interessati”, rappresentando altresì di non aver comunicato la violazione dei dati personali agli interessati coinvolti, ritenendo che la stessa non fosse suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

2. L’attività istruttoria.

L’Autorità ha avviato l’istruttoria preliminare, formulando alcune richieste di informazioni nei confronti di Ventis che ha fornito la ricostruzione tecnica dell’accaduto, comunicando le risposte anche a XX - all’indirizzo di posta elettronica XX. 

Con la prima nota del 16 aprile 2025, Ventis ha dichiarato che: 

- “la funzionalità di reset password è stata impostata in modo tale da permettere ad un utente registrato sulla piattaforma di impostare una nuova password attraverso una specifica procedura che prevede l’inserimento da parte dell’utente stesso del proprio indirizzo e-mail in un’apposita pagina del sito”;

- “la vulnerabilità che ha causato l’incidente segnalato a Codesta Spettabile Autorità ha causato un malfunzionamento della procedura […] in conseguenza della quale il link di reset password veniva comunicato all’utente direttamente all’interno della risposta HTTP ottenuta dal server. 2.2. Si ritiene che il malfunzionamento, determinato da un difetto nel codice di backend del sito, sia stato causato da un errore umano che ha portato in produzione una porzione di codice applicativo che doveva esser utilizzato esclusivamente per scopi di c.d. debugging negli ambienti di sviluppo e che prevedeva che il sito rispondesse con il codice HTTP 403 nel caso in cui l’indirizzo e-mail non corrispondesse a nessun utente registrato oppure con il codice HTTP 200 nel caso lo fosse”;

- “la vulnerabilità sopra descritta è stata sfruttata da terzi che – utilizzando indirizzi di posta elettronica presumibilmente provenienti da altri leak e disponibili sul darkweb o altre fonti illecite – hanno potuto verificare se un utente fosse effettivamente registrato alla piattaforma. Infatti, il sito restituiva risposte differenti nel caso in cui l’indirizzo e-mail inserito fosse o meno registrato sulla piattaforma. […] conseguenza l’attaccante ha replicato le richieste su un insieme di indirizzi e-mail in suo possesso – che, come anticipato al precedente paragrafo 3.1., non sono state trafugate dal sito XX o da sistemi XX – e in base alle risposte ottenute è stato in grado di enumerare gli indirizzi e-mail validi. 3.3. Dalle analisi condotte è emerso che l’attaccante si è avvalso di un totale di oltre 1 milione di IP univoci, nell’arco di una settimana, per eseguire le richieste al sito”;

- “a seguito di un’attenta analisi del caso è emerso che non sussiste un rischio elevato per gli interessati per i seguenti motivi: i dati personali potenzialmente acceduti dall’attaccante erano esclusivamente limitati a: dati di natura anagrafica (quali, in particolare, nome, cognome e codice fiscale); dati di contatto; storico degli acquisti; la violazione non ha coinvolto dati di natura economico-finanziaria o dati di pagamento. Si precisa che il dato relativo al PAN della carta di pagamento utilizzata dagli utenti per effettuare gli acquisti sulla piattaforma era visibile in forma cifrata e, pertanto, non intelligibile da parte degli attaccanti”;

- “nonostante la valutazione del rischio condotta risultasse a “rischio medio” e quindi non comportasse, ai sensi dell’art. 34 del GDPR, l’obbligo di effettuare la comunicazione agli interessati, anche alla luce delle casistiche citate da Codesta Spettabile Autorità, in data 07/02/2025 la Società ha provveduto a informare gli utenti coinvolti nell’accaduto, indicando le azioni necessarie per modificare le proprie credenziali, nonché le misure da porre in essere a tutela degli eventuali rischi derivanti dalla violazione (in particolare avverso tentativi di phishing)”;

- “non appena ha avuto evidenza della violazione, la Società ha provveduto a disabilitare temporaneamente l’endpoint www… e subito dopo a rilasciare una fix che correggeva il bug. In seguito, sono state cancellate le password degli utenti coinvolti in modo che solo un’ulteriore richiesta di recupero della stessa avrebbe dato la possibilità agli utenti di modificare la loro password. 6.2. Quale ulteriore misura è stato implementato il controllo CAPTCHA, al fine di identificare e scartare richieste reiterate effettuate dai c.d. “bot””;

- “si rappresenta che la piattaforma, già chiusa agli acquisti, sarà dismessa definitivamente entro il mese di aprile 2025”.

Successivamente, in riscontro a una ulteriore richiesta di chiarimenti formulata dall’Ufficio il 30 aprile 2025, la Società, con nota del 7 maggio 2025, ha precisato che:

- “la vulnerabilità presente sull’endpoint https://... ha permesso all’attaccante di inferire dalle risposte HTTP se l’indirizzo e-mail inserito in input fosse associato ad un account registrato sul sito. Pertanto […] la piattaforma - nell’arco di tempo in cui si è verificato l’attacco - rispondeva: 1.2.1. con il codice di errore HTTP 403, quando l’e-mail inserita in input per recupero credenziali non risultava registrata in piattaforma; 1.2.2. con il codice HTTP 200 OK, se l'indirizzo e-mail era associato a un account registrato in piattaforma che, conseguentemente, forniva nella medesima risposta HTTP anche il link per procedere con il cambio della password”;

- “sono state registrate circa 40 milioni di richieste di recupero password, verosimilmente effettuate dall’attaccante mediante l’utilizzo di un elevato numero di e-mail compromesse e che si assume siano state recuperate in modo illecito o, comunque, da fonti estranee alla scrivente o a XX (di seguito, “XX” o la “XX”): il 25% circa di tali richieste è fallito in quanto relativo a richieste HTTP fatte per indirizzi email non registrati alla piattaforma o perché erano richieste sintatticamente scorrette. Il 75% circa delle stesse è invece relativo a richieste HTTP che hanno correttamente invocato la funzionalità di recupero password su indirizzi email effettivamente registrati (al riguardo, si ribadisce che gli indirizzi e-mail utilizzati dagli attaccanti hanno origini sconosciute alla scrivente Società, derivando presumibilmente da fonti illecite). Da ciò si evidenzia come sia da desumere che gli attaccanti abbiano fatto più richieste per lo stesso indirizzo e-mail, con la conseguenza che il numero di richieste è esponenzialmente maggiore rispetto ai soggetti potenzialmente coinvolti”;

- “si precisa inoltre che nel medesimo periodo sono state riscontrate circa 8 milioni di richieste di modifica della password (i.e. secondo step della procedura di recupero password che implica l’utilizzo del link ricevuto), precisando che l’elevato numero è da ricondurre alla circostanza che gli attaccanti hanno fatto multiple richieste di reset password per gli stessi indirizzi e-mail. Di tali richieste, ne risultano andate a buon fine circa il 20% che hanno impattato esclusivamente gli 8.700 utenti indicati al paragrafo 2.1. Anche in questo caso, si precisa che l’elevato numero di richieste è da ricondurre alla circostanza che gli attaccanti hanno utilizzato multipli link di reset password per gli stessi indirizzi e-mail”;

- “Ventis e XX hanno sottoscritto un accordo di contitolarità ex art. 26 RGDP, in forza del quale le parti circoscrivevano su un perimetro ristretto i dati personali oggetto di trattamento congiunto e, precisamente: 

- i dati personali relativi alle attività di gestione della piattaforma (ad es., al processo di iscrizione, allo svolgimento di attività di natura tecnica, tra cui la manutenzione ecc.). Tra questi rientrano in particolare i seguenti dati: nome, cognome, indirizzo e-mail, codice fiscale e numero di telefono (non obbligatorio); 

- i dati personali nel contesto delle attività di direct marketing relative ai prodotti e ai servizi offerti dalla piattaforma. Tra questi rientrano in particolare i seguenti dati: indirizzo e-mail; 

- i dati di contatto di cui sopra per la loro eventuale comunicazione a terzi (previa raccolta del consenso)”;

- “si precisa che erano trattati esclusivamente da Ventis in qualità di titolare del trattamento (pertanto sono da considerarsi esclusi dal perimetro della contitolarità):

- i dati relativi a specifiche attività di compravendita; 

- i dati di fatturazione effettuate tramite la piattaforma dagli acquisti e agli ordini fatti non erano oggetto di contitolarità con XX; 

- i dati trattati nel contesto delle attività di call center”;

- “La piattaforma è una piattaforma e-commerce proprietaria di VENTIS, che la offre in modalità cd. white-label ai propri clienti, tra cui XX. 5.2. Le credenziali di accesso alla piattaforma XX sono composte dall’indirizzo email scelto dall’utente e da una password scelta dall’utente […]; 5.3. I sistemi XX - oltre a esser completamente separati

- prevedono modalità di autenticazione completamente diverse e autonome (anche perché la piattaforma non era dedicata esclusivamente ai clienti XX); inoltre, i sistemi XX e i sistemi di XX non comunicano tra loro”.

Alla luce di quanto emerso dai riscontri sopra esposti, l’Ufficio formulava un’ulteriore richiesta di informazioni ai sensi dell’art. 157 del Codice (cfr. nota del 12 maggio 2025) a cui la Società ha fornito riscontro con nota del 20 maggio 2025 (corredata di n. 3 allegati) rappresentando che:

- [OMISSIS]

3. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori dell’Autorità.

All’esito degli approfondimenti istruttori anzi descritti, caratterizzati da una elevata complessità dei profili di natura tecnologica (cfr. relazione tecnica del 15 luglio 2025), l’Ufficio ha rilevato che, al momento in cui si è verificata la violazione dei dati personali, Ventis s.r.l. e XX non avevano ottemperato ai principi e agli obblighi di cui agli artt. 5 e 32 del Regolamento. 

In particolare, dall’analisi della documentazione acquisita agli atti e delle dichiarazioni rese dalla Società quale contitolare del trattamento (e condivise da XX costantemente informata in merito all’istruttoria effettuata) è emerso che gli autori dell’attacco che ha comportato la violazione di dati personali in questione hanno sfruttato una vulnerabilità presente sull’endpoint https://www... che restituiva per errore nella risposta HTTP, nel caso di un indirizzo e-mail presente in piattaforma e un link per procedere con il cambio della password. 

Sfruttando tale errata configurazione del sistema, gli attaccanti, tramite delle procedure automatizzate, hanno effettuato circa 40 milioni di richieste di recupero password, mediante l’utilizzo di un elevato numero di e-mail compromesse provenienti probabilmente da altri data breach da cui si è attinto sul dark web. 

L’elevato numero di richieste è significativo del fatto che gli attaccanti abbiano fatto più richieste, per lo stesso indirizzo e-mail, con la conseguenza che il numero di richieste è esponenzialmente maggiore rispetto ai soggetti potenzialmente coinvolti.

Sulla base delle analisi effettuate dalla stessa Società, per circa 8700 utenti queste richieste fraudolente hanno portato al completamento della procedura di recupero della password.

Al riguardo, si rileva che l'attacco in questione avrebbe potuto essere rilevato attraverso un adeguato monitoraggio delle richieste di recupero password, considerando sia l’elevato numero di tentativi di reset delle credenziali riferiti a uno stesso account effettuati, sia l’anomalo aumento del traffico di rete generato da circa 40 milioni di richieste. 

Di nessun pregio deve ritenersi, in proposito, quanto sostenuto da Ventis secondo cui “il numero elevato di IP utilizzati dall’attaccante, ha determinato anche un basso rate di richieste per singolo IP sorgente”, in quanto ciò non giustifica la mancata implementazione di soluzioni di CAPTCHA in grado di rilevare e bloccare le richieste originate dai meccanismi automatici utilizzati dalle botnet. 

Tenuto conto di quanto sopra, l’Ufficio, con nota del 9 ottobre 2025, ha notificato a Ventis s.r.l. e a XX, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2 e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice, in relazione alla presunta violazione del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f) e  degli obblighi in materia di sicurezza di cui l’art. 32, par. 1, lett. b) del Regolamento. 

Con la medesima nota, i XX sono stati invitati a produrre scritti difensivi o documenti ovvero a chiedere di essere sentiti dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, legge n. 689 del 24 novembre 1981).

3.1. La memoria difensiva di Ventis s.r.l. 

Con memoria trasmessa in data 7 novembre 2025, corredata di allegati, la Società, nel riproporre le argomentazioni già esposte nel corso dell’istruttoria, ha rappresentato che il suo “oggetto sociale comprende principalmente la gestione di piattaforme di commercio elettronico e la vendita online di prodotti” di vario genere; in particolare, “In data 31/12/2020, a seguito di una complessa negoziazione, Ventis conferiva in licenza c.d. white label al gruppo bancario XX il sito web www… (di seguito la “Piattaforma”), adibito a portale di e-commerce. La Piattaforma consisteva in un sito web in cui si proponevano offerte a prezzo vantaggioso nel settore travel”, “fashion” ed “experience”, ma non aveva alcun collegamento con i dati XX ed era totalmente segregata”. 

La Società, quindi, nel ribadire che, “parallelamente al contratto per lo sviluppo e la manutenzione della Piattaforma, un accordo di contitolarità del trattamento” sottoscritto con XX “limitava il perimetro della contitolarità con XX unicamente alle attività relative alla gestione, in generale, della Piattaforma e [al]le attività di direct marketing”, mentre permanevano “in capo a Ventis i dati di fatturazione legati agli acquisti e agli ordini effettuati tramite la Piattaforma e i dati trattati nel contesto delle attività di call center”, ha in particolare evidenziato che: 

- la violazione ha avuto una durata complessiva di nove giorni (21-30 gennaio 2025). “La tempestiva individuazione dell’anomalia e la successiva disattivazione dell’endpoint vulnerabile hanno consentito di contenere l’incidente e ripristinare la piena operatività della Piattaforma entro il 30 gennaio 2025. […] Indubbiamente l’attacco informatico è stato condotto da soggetti molto esperti che […] hanno generato complessivamente circa quaranta milioni di richieste di reimpostazione della password nell’arco di nove giorni. Circa il 25% di tali richieste […] è risultato fallito […]. Al contrario, circa il 75% delle richieste ha correttamente attivato la funzionalità di recupero password per indirizzi email validi. Tale livello di attività, pur rappresentando un’anomalia su scala aggregata, si è mantenuta sistematicamente al di sotto delle soglie di rate limiting configurate nel Web Application Firewall (pari a due richieste per ora per IP), eludendo di fatto i meccanismi di rilevamento automatico basati su frequenze eccessive o pattern anomali di traffico. L’attacco, per la sua natura distribuita e “low and slow”, ha utilizzato un’enorme quantità di sorgenti apparentemente legittime, ciascuna delle quali generava un volume minimo di richieste del tutto compatibile con l’uso ordinario di utenti reali. Tale distribuzione massiva del traffico ha neutralizzato l’efficacia di blacklist e controlli reputazionali basati su IP noti o ricorrenti, impedendo di associare l’evento a un comportamento malevolo coerente o riconducibile a un’unica origine. Infatti, tutte le richieste HTTP risultavano tecnicamente valide e conformi ai protocolli, con intestazioni e contenuti formalmente corretti, restituendo i codici di stato previsti dal flusso applicativo (200 per indirizzi esistenti, 403 per indirizzi non registrati), senza generare errori, anomalie o indicatori di compromissione rilevabili dai sistemi di monitoraggio […]”; 

- tenuto conto di quanto anzi rappresentato, “deve ritenersi che l’attacco abbia sfruttato una combinazione di fattori (tra cui figurano l’elevatissima distribuzione su IP unici, la piena conformità delle richieste agli standard di protocollo e la loro cadenza deliberatamente inferiore alle soglie di rilevamento) in modo tale da rendere fisiologicamente impossibile la sua individuazione preventiva o automatica da parte dei sistemi di sicurezza comunemente adottati, compresi quelli conformi allo stato dell’arte e ai princìpi di adeguatezza e proporzionalità previsti dall’art. 32 del RGPD, comunque adottati dalla Società;

- in merito alla gravità della violazione, “questa è stata oggetto di un assessment interno, condiviso con il contitolare XX, condotto secondo le best practice di settore e Linee Guida 9/2022 dell’EDPB, all’esito del quale l’evento è stato considerato sì effettivo ma di impatto circoscritto, poiché caratterizzato da:

- assenza di compromissione di dati appartenenti a categorie particolari ai sensi dell’art. 9 del RGPD;

- limitata platea di interessati coinvolti rispetto al totale degli utenti (8.714 su 67.000 utenti registrati alla Piattaforma);

- breve durata dell’esposizione, grazie all’individuazione e alla disattivazione immediata dell'endpoint vulnerabile (per tutta la durata della violazione, con ripristino avvenuto in data 30/01/2025) e l’applicazione di misure correttive;

- impossibilità tecnica di sfruttare l’anomalia per ottenere accessi prolungati o modificare informazioni.

Dal punto di vista della probabilità di eventuali conseguenze sui diritti e le libertà degli interessati, l’impatto è risultato essere contenuto, in quanto non risultano effetti concreti quali furto d’identità, danni economici, discriminazioni o perdita di controllo sui dati.

Il rischio residuo, pertanto, veniva qualificato come medio-basso, mitigato dalle misure di sicurezza già operative (architettura segregata, crittografia, logging, WAF) e da quelle implementate immediatamente dopo l’incidente (patch correttiva, reCAPTCHA Enterprise, invalidazione sessioni e modifica delle password degli utenti interessati, nonché la revisione di tutta la documentazione afferente le misure di sicurezza e tecniche ex art. 32 del RGPD […]”; 

- in merito al carattere doloso o colposo, “Le evidenze raccolte consentono di qualificare l’evento come manifestamente doloso e organizzato, riconducibile a soggetti esperti dotati di significative risorse umane, economiche e tecnologiche; le modalità tecniche impiegate […] denotano competenze avanzate e un coordinamento operativo continuo. Lo sfruttamento sistematico di materiale preesistente reperibile nel dark web (liste di indirizzi e-mail e credenziali) conferma il carattere professionale dell’attore e la finalità economica dell’operazione, coerente con pratiche consolidate nel panorama del cybercrime a danno di piattaforme digitali e, in casi analoghi, di enti e istituti finanziari. I profili tecnico-forensi rilevati (ovvero la distribuzione massiva su fonti multiple, l’assenza di segnali di malformazione nelle richieste, la capacita di adattare il modus operandi in base alle contromisure incontrate) sono tipici di organizzazioni che operano in modalità “as a service” o di gruppi criminali specializzati in validazione massiva di account e raccolta di credenziali per usi illeciti successivi. Tali elementi rendono verosimile l’ipotesi di un’entità professionale piuttosto che di un operatore dilettantistico”; 

- quanto alle misure adottate per attenuare gli effetti della violazione degli interessati, la Società “A seguito della rilevazione dell’anomalia di traffico e della conferma della compromissione funzionale del servizio di reimpostazione delle credenziali, ha attivato immediatamente la procedura interna di Incident Response prevista dal Capo del dipartimento IT (cfr. doc. 3). Il primo intervento ha previsto la disabilitazione immediata dell’endpoint di reimpostazione della password […]. Sono state inoltre invalidate tutte le sessioni utente attive nel periodo d’attacco e forzata la reimpostazione delle password degli account potenzialmente coinvolti, garantendo l’adozione di nuove credenziali conformi alla policy di complessità prevista. Contestualmente è stata rilasciata una patch correttiva che ha eliminato la porzione di codice interessata e modificato il comportamento dell’applicazione, sostituendo la precedente restituzione diretta del link di reimpostazione nella risposta HTTP con l’invio di un collegamento univoco e monouso trasmesso esclusivamente tramite e-mail autenticata (cfr. immagine 3)” […]. In data 7/02/2025, nonostante la valutazione post incidente non ne prevedesse l’immediata necessità, gli interessati hanno debitamente ricevuto una comunicazione formulata dai contitolari, riprodotta nel doc. 1, con la quale gli interessati erano invitati a svolgere le azioni necessarie per modificare le proprie credenziali […]. La maggioranza dei soggetti destinatari della comunicazione ha provveduto a modificare la password come richiesto. Da ultimo, veniva sporta denuncia alla Procura della Repubblica di Bologna in data 17 febbraio 2025 (doc. 2). A seguito dell’incidente di sicurezza ivi descritto, Ventis ha completamente rivisto la procedura di reimpostazione delle password per gli utenti in un’ottica di sicurezza e privacy-by-design ai sensi degli articoli 5, 25 e 32 del RGPD, come altresì indicato nel doc. 5-bis, nella sezione 16 (“Web Configuration”). La nuova procedura [OMISSIS]”; 

- quanto al grado di responsabilità del titolare del trattamento, è stato ribadito che “Al momento dell’evento, l’ecosistema della Piattaforma risultava protetto da un’infrastruttura tecnologica multilivello (“defense in depth”) basata su XX progettata secondo criteri di resilienza, riservatezza e integrità dei dati, in coerenza con lo stato dell’arte e con le principali normative e best practice di settore (ISO/IEC 27002:2022, OWASP). Tale configurazione costituiva un sistema di sicurezza proporzionato ai rischi connessi all’erogazione di servizi di e-commerce e adeguato ai sensi dell’art. 32 del Regolamento (UE) 2016/679. L’architettura di rete era integralmente segregata in un Virtual Private Cloud (VPC) isolato e privo di esposizione diretta verso internet, con accessi consentiti esclusivamente tramite VPN e autenticazione di tipo amministrativo. (doc. 4). A tal fine, era previsto l’utilizzo di reti private virtuali, firewall cloud e regole granulari di traffico. Tali sistemi venivano regolati sulla base del principio del privilegio minimo e un controllo puntuale dei permessi, al fine di limitare l’accesso ai soli soggetti autorizzati. Come più volte richiamato, la Piattaforma operava in un perimetro logico completamente separato dai sistemi XX […]. La protezione perimetrale e applicativa era garantita dall’impiego di un Web Application Firewall (WAF) di livello enterprise (XX), configurato per ispezionare e filtrare il traffico in ingresso mediante regole di rate limiting e blacklist dinamiche. Gli endpoint critici (login, registrazione, reimpostazione della password) erano soggetti a limiti di frequenza rigorosi, fissati a due richieste per ora per indirizzo IP, calibrati per prevenire attacchi di tipo brute-force o credential stuffing, senza pregiudicare l’usabilità per gli utenti legittimi, i quali avrebbero potuto subire disagi significativi nel caso di un limite inferiore, come ad esempio tempi di attesa elevati per il recupero delle credenziali o l’accesso ripetuto agli account, con conseguente frustrazione e impatto negativo sull’esperienza complessiva del servizio. Nel merito, sarebbe stato astrattamente sproporzionato implementare misure ancor più restrittive di queste supra illustrate, le quali avrebbero potuto pregiudicare ulteriormente l’esperienza degli utenti, considerando che la Piattaforma in questione non forniva alcun tipo di servizio bancario finanziario, ma un semplice servizio di e-commerce […]. La protezione delle credenziali e dei dati di pagamento era assicurata da algoritmi di hashing crittografico con salting, che rendevano le password non reversibili, e dalla gestione dei dati di pagamento conforme agli standard PCI-DSS. Il PAN (Primary Account Number) era memorizzato esclusivamente in forma mascherata e la crittografia era delegata a un fornitore esterno compliant al PCI-DSS (PayWay), senza che Ventis detenesse chiavi crittografiche o dati in chiaro (v. doc. 4, sezione 9 (“Cryptographic Controls”). La procedura di reimpostazione delle password era basata su token monouso a scadenza automatica, come risultante dalla documentazione fornita a Codesta Spettabile Autorità durante la fase istruttoria. In materia di monitoraggio e tracciabilità, era attivo un sistema di osservabilità continua (XX), operativo 24 ore su 24 e 7 giorni su 7, con alert automatizzati in grado di rilevare anomalie nei codici di stato HTTP e nei parametri prestazionali (CPU, RAM, disco). Tutti gli eventi tecnici e applicativi venivano registrati in log centralizzati, con una politica di conservazione fissata a 30 giorni, come previsto nel doc. 4, sezione 26 (“Digital Asset Logs”). Tale politica rappresentava un equilibrio proporzionato tra le esigenze di analisi forense e il principio di minimizzazione dei dati di cui all’art. 5, paragrafo 1, lettera c), del RGPD. Nel complesso, l’assetto tecnico e organizzativo della Piattaforma, alla data dell’incidente, risultava conforme ai principi di protezione dei dati by-design e by default, garantendo un livello di sicurezza adeguato al rischio, in linea con l’art. 32 del RGPD, con i controlli ISO/IEC 27002:2022 e con le linee guida ENISA in materia di resilienza e sicurezza dei trattamenti. A seguito del verificarsi dell’incidente, Ventis ha chiaramente operato in via riparativa e cautelativo-preventiva nell’ottica di evitare ulteriori incidenti simili, e a tal proposito, è stata svolta una revisione approfondita dell’analisi di rischio, in linea con il principio di responsabilità proattiva previsto dal RGDP, con l’intento di rafforzare ulteriormente la governance della sicurezza e la protezione dei dati personali, in particolare in relazione ai rischi emergenti (doc. 5 e doc. 5-bis). L’analisi ha consentito di identificare le aree che necessitano di un continuo monitoraggio e aggiornamento, consentendo così di rispondere in modo dinamico e tempestivo a future minacce. In primis, il documento relativo alla procedura di Incident Response versione 1 (doc. 3) ha subìto una completa revisione: in essa, sono stati aggiunti dettagli significativi rispetto alla versione 1, in particolare per quanto riguarda la gestione delle violazioni dei dati personali, con l’introduzione di procedure specifiche in conformità con il GDPR. La versione 2 ha anche migliorato il processo di registrazione degli incidenti, introducendo un registro interno più dettagliato che include la valutazione dell’impatto e le azioni correttive immediatamente adottate. Infine, è stata aggiunta una sezione sul miglioramento continuo, prevedendo la revisione annuale delle procedure o in seguito a modifiche normative significative, portando la documentazione in linea con l’art. 32, par. 1 lett. b) e d) del RGPD (cfr. doc. 3-bis). Grazie a tale approccio, si è potuto consolidare l’impegno per la protezione dei dati, mettendo in pratica misure preventive sempre più robuste che assicurano la minimizzazione del rischio di futuri incidenti simili”;

- per quanto riguarda “le categorie di dati interessati dalla violazione”, […] si rappresenta che la violazione ha riguardato esclusivamente categorie di dati personali di natura non appartenente alle categorie di dati particolari ex art. 9 RGDP, e comunque strettamente connesse al profilo utente della Piattaforma e-commerce. In concreto sono risultati potenzialmente accessibili i seguenti tipi di dati degli utenti titolari dell’utenza sulla Piattaforma:

- Nome e cognome;

- Indirizzo e-mail; 

- Numero di telefono (se disponibile in quanto fornito in precedenza dall’utente stesso);

- Codice fiscale;

- Indirizzo di spedizione di un ordine (se disponibile in quanto fornito in precedenza dall’utente stesso a seguito di acquisti sulla Piattaforma);

- Valore del “portafoglio XX” (portafoglio virtuale relativo al profilo fedeltà dell’utente, il quale non ha alcun valore finanziario al di fuori della Piattaforma stessa);

- PAN delle carte di pagamento (se salvate sul profilo dell’utente), di cui sono rese visibili solo le ultime 4 cifre in chiaro

- Identificativo del cliente e i relativi dati connessi alla navigazione e all’utilizzo del servizio (a titolo esemplificativo, visualizzazioni della pagina profilo e storico login)”.

In merito al “profilo relativo al PAN delle carte di credito” va segnalato che “seppur presenti profili con carte di pagamento registrate, i dati di pagamento non erano assolutamente memorizzati in chiaro. […] la Piattaforma e-commerce adotta un sistema di gestione dei dati di pagamento di certo ispirato ai principi di sicurezza e minimizzazione, in quanto il trattamento dei dati relativi alle carte di pagamento avviene secondo un modello di tokenizzazione e cifratura che assicura la non intelligibilità del numero di carta (PAN) e l’impossibilità tecnica di risalire al dato originario. Come documentato nella sezione “Cryptographic Controls” (doc. 4), il sistema è strutturato in modo tale che i dati delle carte di pagamento transitino esclusivamente per la trasmissione al servizio XX, il quale è responsabile della cifratura del PAN e della generazione di un token univoco non reversibile. Tale token è tecnicamente valido soltanto per i pagamenti processati attraverso il POS di Ventis e non consente, neppure in ipotesi di accesso non autorizzato, la ricostruzione del numero di carta o l’utilizzo fraudolento dello stesso”. Quindi “la Piattaforma non conserva né tratta direttamente il PAN in chiaro, ma esclusivamente il token restituito dal fornitore e visualizza all’utente unicamente le prime sei e le ultime quattro cifre del numero di carta, in conformità agli standard internazionali PCI-DSS. L’intero flusso di comunicazione tra client e server avviene tramite connessioni cifrate (TLS/HTTPS), e i dati vengono ulteriormente criptati presso il sistema esterno, con algoritmi conformi agli standard di settore. Ne deriva che, anche in ipotesi di compromissione dei sistemi applicativi o di accesso esterno non autorizzato, i dati di pagamento risulterebbero comunque tecnicamente inutilizzabili e privi di valore identificativo o economico, in quanto la Piattaforma Ventis non dispone del dato in chiaro né di alcun mezzo per decifrarlo. Inoltre, le analisi forensi indicano un accesso significativamente inferiore ai dati di carta rispetto agli altri campi di profilo e, in ogni caso, i token non consentono la ricostruzione del numero di carta né l’esecuzione di transazioni. La documentazione richiamata (doc. 4) è stata oggetto, peraltro, di un miglioramento a seguito dell’implementazione documentale post-incidente […], nello specifico grazie all’inserimento di riferimenti aggiornati a ISO/IEC 27001:2022, nonché alla gestione dei token, validi unicamente tramite pagamenti POS, e ribadendo la totale assenza di chiavi o dati in chiaro  (cfr. doc 4-bis)”;

- quali circostanze attenuanti che meritano di essere considerate ai sensi dell’art. 83, par. 5, lett. k) del Regolamento, si segnala che:

- l’incidente in questione, causato da un errore umano, “lungi dall’essere sistematico, non rifletteva una lacuna strutturale nelle misure di sicurezza, ma costituiva un incidente isolato, prontamente oggetto di fix e conseguente revisione complessiva delle misure di sicurezza interne”; 

- la condotta “assunta da Ventis immediatamente dopo l’incidente ha sostanzialmente impedito che gli utenti potessero essere compromessi a livello economico. Sebbene l’incidente abbia coinvolto una sofisticata botnet con un ampio numero di indirizzi IP, i dati finanziari sono comunque rimasti protetti, impedendo qualsiasi perdita economica diretta per gli utenti”;

- “Il terzo fattore riguarda il bilanciamento tra rischio di impresa ed eventuale previsione della sanzione […] La Piattaforma […] ha implementato soluzioni di sicurezza avanzate in proporzione ai rischi elevati e alle minacce emergenti. L’imposizione di una sanzione severa, che potrebbe compromettere la continuità operativa dell’impresa risulterebbe sproporzionata in relazione alla gravita dell'incidente, che, come illustrato, non ha causato danni economici tangibili per gli utenti”; 

- “il contesto socioeconomico di riferimento di Ventis ai fini della valutazione nell’an e, nella denegata ipotesi, nel quantum della sanzione: la Società, infatti, a seguito dell’incidente, ha terminato il rapporto con XX, perdendo dunque la collaborazione commerciale e la relativa linea di fatturato che cubava per circa il 30% del fatturato della piccola realtà Romagnola”.

[OMISSIS]

4. La normativa in materia di protezione dei dati personali. 

L’art. 5, par. 1, lett. f), del Regolamento stabilisce, tra i princìpi generali che sovrintendono il trattamento dei dati personali, che i dati personali devono essere “trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (“integrità e riservatezza”).

L’art. 32 del Regolamento (“Sicurezza del trattamento”) dispone altresì, al par. 1, che “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio che comprendono, tra le altre, se del caso […] la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento” (art. 32, par.1, lett. b)). 

5. Le valutazioni dell’Autorità e l’esito dell’istruttoria. 

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese XX nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice, questa Autorità formula le seguenti considerazioni conclusive.

In particolare, con riferimento alle misure tecniche e organizzative di cui all’art. 32, par. 1, del Regolamento adottate in relazione alla piattaforma che è stata oggetto di data breach e alle contestazioni mosse sul punto dall'Autorità (cfr. par. 3), nel prendere atto di quanto ampiamente illustrato dalla Società e XX nelle rispettive memorie difensive (cfr. par.3.1 e 3.2), questa Autorità rileva che gli autori dell’attacco hanno sfruttato una vulnerabilità, presente nell’endpoint della procedura di reimpostazione della password, implementato all’interno del sito e-commerce della società Ventis, mal configurato a causa di un errore operativo. 

[OMISSIS]

Al riguardo si ritiene pertanto che le misure di sicurezza implementate risultavano inadeguate e concettualmente errate, rispetto allo scenario d’attacco effettivamente osservato. 

In particolare, a fronte di un aumento anomalo e statisticamente significativo di richieste di cambio password, chiaramente superiori alla normale operatività del sistema, i sistemi di monitoraggio adottati nel caso in esame non hanno generato alcun allarme né segnalato scostamenti significativi rispetto al normale funzionamento del servizio. 

Tale circostanza evidenzia oggettivamente come tali sistemi fossero configurati esclusivamente per rilevare anomalie di natura infrastrutturale o sistemica, risultando invece inermi rispetto a fenomeni di abuso logico delle funzionalità. 

In altre parole, pur in presenza di comportamenti chiaramente difformi dall’uso lecito e ordinario del servizio, il modello di controllo adottato non era pertanto in grado di intercettare indicatori di attacco (IoA) basati su pattern comportamentali. Questa impostazione ha reso impossibile l’individuazione tempestiva dell’attacco e ha, di fatto, impedito l’attivazione di contromisure correttive o mitigative in tempo reale. 

[OMISSIS]

Quanto sopra rappresentato configura, pertanto, una violazione del principio di “integrità e riservatezza” di cui all’art. 5 del Regolamento, con particolare riguardo all’obbligo di “garantire una adeguata sicurezza dei dati personali, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (art. 5, par. 1, lett. f)). 

Allo stesso tempo, la mancanza di meccanismi di difesa efficaci, la scarsa capacità di monitoraggio e l’assenza di controlli funzionali mirati hanno comportato una violazione dell’articolo 32 del Regolamento, che impone ai titolari del trattamento di implementare misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, inclusi strumenti di prevenzione, rilevazione e mitigazione di attacchi automatizzati o distribuiti. 

In questo quadro, deve essere apprezzato che, successivamente al verificarsi dell’evento, Ventis abbia adottato una serie di misure correttive volte a mitigare le criticità emerse e a ridurre il rischio di reiterazione dell’attacco. 

[OMISSIS]

Le suddette misure, pur non incidendo sulle valutazioni circa l’inadeguatezza delle difese presenti al momento dell’attacco, costituiscono un intervento correttivo coerente con le best practice di sicurezza applicativa. 

Deve infine essere evidenziato come la violazione di dati personali in questione abbia avuto un impatto significativamente più rilevante per Ventis rispetto a XX. Ciò, in ragione della diversa tipologia e quantità dei dati trattati [OMISSIS], Ventis gestiva un set informativo più esteso e articolato con conseguente maggiore esposizione al rischio e agli effetti pregiudievoli derivanti dal data breach. 

6. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, del Regolamento. 

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dai XX del trattamento nel corso dell’istruttoria, seppure meritevoli di considerazione, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

Il trattamento dei dati personali effettuato da Ventis s.r.l. e da XX risulta infatti illecito, nei termini su esposti, con riferimento alla violazione degli artt. 5, paragrafo 1, lettere f) e 32 del Regolamento. 

In particolare, le criticità  sopra rappresentate hanno evidenziato che la violazione di dati personali si è verificata in ragione del fatto che Ventis e [OMISSIS] cui è attribuita, ai sensi dell’art. 26 del Regolamento, la responsabilità congiunta dei trattamenti di dati personali posti in essere, hanno omesso di verificare, in relazione alla natura, al contesto, alle finalità e ai rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche interessate dai trattamenti effettuati nell’ambito della Piattaforma in questione, che le misure tecniche e organizzative adottate fossero idonee a garantire un livello di sicurezza adeguato al rischio secondo quanto previsto dall’art. 5, par. 1, lett. f), del Regolamento e degli obblighi in materia di sicurezza del trattamento di cui all’art. 32, par. 1 e 2, del Regolamento.

Purtuttavia, tenuto conto che successivamente al verificarsi del data breach, Ventis ha adottato una serie di misure correttive volte a mitigare le criticità emerse e a ridurre il rischio di reiterazione dell’attacco (cfr. par. 5) nonché del fatto che, a seguito dell’evento, non sono pervenuti reclami ai sensi dell’art. 77 del Regolamento da soggetti interessati dalla violazione e che, da ultimo, la Piattaforma in questione è stata dismessa nell’aprile 2025, si ritiene che non ricorrano, allo stato degli atti, i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2 del Regolamento.  

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato da Ventis s.r.l., con sede legale in Bellaria-Igea Marina (RN) in via A. Urbinati n. 7, C.F. n. 06853120969 e XX, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. f) 32 del Regolamento

[OMISSIS]

DISPONE

[OMISSIS];

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito Internet del Garante;

[OMISSIS]

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 28 maggio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni
      
IL SEGRETARIO GENERALE
Montuori