La Commissaria federale per il Protezione dei dati e la libertà di informazione (BfDI), la prof.ssa Louisa Specht-Riemenschneider, ha inflitto alla Vodafone GmbH due sanzioni amministrative per un importo complessivo di 45 milioni di euro. Al centro delle sanzioni vi sono carenze nella gestione dei responsabili del trattamento, nonché lacune nella sicurezza tecnica e organizzativa dei sistemi di trattamento.
Controllo insufficiente dei processori
Il punto di partenza è stato costituito da numerose segnalazioni relative alla stipula fraudolenta di contratti da parte di collaboratori di agenzie partner che, per conto di Vodafone, si occupano della mediazione di contratti con i clienti. In particolare, sono state riscontrate modifiche contrattuali fittizie e stipule di contratti non autorizzate a danno dei clienti. Questi episodi hanno messo in luce carenze strutturali nella gestione, sotto il profilo della protezione dei dati, dei responsabili del trattamento incaricati.
Per queste inadempienze è stata comminata una multa di 15 milioni di euro. Il BfDI ha riscontrato che Vodafone non ha adempiuto agli obblighi di protezione dei dati personali ai sensi dell'art. 28 (1), comma 1. GDPR non è stato sufficientemente rispettato. In seguito Persone responsabili è tenuto a incaricare esclusivamente quei responsabili del trattamento che offrano garanzie sufficienti a garantire che siano adottate misure adeguate misure tecniche e organizzative essere prese al fine di Elaborazione in conformità con il GDPR garantire.
In particolare, è mancata un'adeguata selezione e un monitoraggio continuo delle agenzie partner. Questi episodi illustrano un problema che si incontra spesso nella pratica: la responsabilità della protezione dei dati per le agenzie commissionate Terza parte è spesso sottovalutato o trascurato, il che comporta rischi considerevoli per Parti interessate può portare con sé.
Suggerimento di lettura: Ecco le cinque sanzioni più elevate ai sensi del GDPR nel mese di maggio 2025
Carenze in materia di sicurezza tecnica
Un secondo punto chiave di critica da parte del BfDI riguardava le debolezze nel processo di autenticazione per l'uso combinato del portale clienti "MeinVodafone" e della hotline Vodafone. Queste lacune nella sicurezza hanno permesso a persone non autorizzate di Terza parte a profili eSIM e quindi a Dati personali accesso. Per questo Violazione contro l'art. 32, par. 1 GDPR è stata comminata un'ulteriore multa di 30 milioni di euro.
Art. 32 GDPR obbligato Persone responsabili per l’attuazione di misure tecniche e organizzative adeguate, al fine di garantire un livello di protezione commisurato al rischio. Il caso Vodafone illustra in modo esemplare quali pericoli possano derivare da meccanismi di autenticazione insufficienti. E questo in un’epoca in cui gli scenari di minaccia derivanti da attacchi informatici e Ingegneria sociale in costante aumento.
Il BfDI elogia Vodafone: durante il procedimento sono state rese note tutte le circostanze
Vodafone ha reagito in modo esauriente alle critiche mosse dall’autorità di controllo sulla protezione dei dati. Secondo la BfDI, i processi di vendita sono stati rivisti, i sistemi modernizzati e le architetture di sicurezza sostanzialmente migliorate. Sono stati inoltre riorganizzati i processi di selezione e controllo delle agenzie partner. In tale contesto, l’azienda ha interrotto i rapporti con i partner contrattuali problematici. Nel corso di un controllo di follow-up, la BfDI intende ora verificare se le misure adottate siano efficaci nel lungo periodo.
Va sottolineato in particolare che Vodafone ha collaborato senza riserve durante l’intero procedimento e ha anche rivelato circostanze a proprio carico. Le ammende sono state accettate e già versate per intero al Tesoro federale.
Controllo dei responsabili del trattamento
Il caso Vodafone è emblematico delle sfide strutturali che molte aziende devono affrontare nel campo della protezione dei dati-Conformità. Come sottolinea la BfDI, in numerosi settori si registrano ritardi negli investimenti relativi alla modernizzazione informatica. Di conseguenza, spesso si ricorre a tagli sui costi relativi alla sicurezza, mentre la supervisione dei responsabili del trattamento dei dati viene trascurata.
Tuttavia, l’esempio dimostra anche che la protezione dei dati può assumere un’importanza strategica per le aziende. Nel corso del processo di revisione, Vodafone non solo ha rafforzato le proprie strutture interne, ma ha anche donato diversi milioni di euro a organizzazioni impegnate nella tutela dei dati, nell’alfabetizzazione mediatica e nell’alfabetizzazione digitale.
Con l'irrogazione delle sanzioni, la BfDI lancia un segnale chiaro: le violazioni della protezione dei dati non rimangono impunite. Allo stesso tempo, l'autorità adotta un approccio costruttivo: le aziende che prendono sul serio la protezione dei dati e dimostrano trasparenza devono essere sostenute.
German 
English 
Italian 
French