Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il più alto Fine è stata inflitta a Vodafone in Germania nel giugno 2025. In Spagna e nel Regno Unito sono state inflitte multe da due milioni di euro per violazioni di dati in cui gli aggressori hanno ottenuto l'accesso non autorizzato ai dati attraverso il riempimento delle credenziali. In Irlanda, il Dipartimento dei Servizi Sociali è stato multato per una cifra relativamente alta. Fine penalizzati. A differenza di altri Paesi, in Irlanda è possibile imporre multe alle autorità e queste non hanno un tetto massimo.
Vodafone: 45 milioni di euro (Germania)
Il Garante federale per la protezione dei dati e la libertà di informazione (BfDI) ha inflitto alla Vodafone GmbH due sanzioni pecuniarie per un importo complessivo di 45 milioni di euro.
È stata inflitta una sanzione pecuniaria di 15 milioni di euro perché l'operatore di telefonia mobile Vodafone non aveva verificato e controllato adeguatamente le agenzie partner che stipulano contratti con i clienti per conto dell'azienda. Ciò ha portato a casi di frode in cui i clienti hanno subito danni a causa di contratti fittizi o modifiche contrattuali.
È stata inoltre inflitta una sanzione pecuniaria di 30 milioni di euro a causa di carenze di sicurezza nel processo di autenticazione nell’ambito dell’utilizzo combinato del portale online „MeinVodafone“ e della hotline Vodafone. Tali carenze hanno consentito a terzi non autorizzati di accedere ai profili eSIM dei clienti.
Vodafone ha reagito alle accuse migliorando i propri processi e sistemi e, in alcuni casi, sostituendoli completamente. In questo modo si intende ridurre al minimo i rischi in futuro. Inoltre, sono stati rivisti i processi di selezione e verifica delle agenzie partner. Infine, sono stati interrotti i rapporti con i partner nei confronti dei quali sono stati riscontrati casi di frode. Il BfDI intende verificare l’efficacia di tali misure nel corso di un controllo di follow-up.
Suggerimento di lettura: Il BfDI infligge a Vodafone sanzioni amministrative per un importo di 45 milioni di euro
Fonte: Comunicato stampa „Il BfDI infligge sanzioni pecuniarie a Vodafone“ del 3 giugno 2025
Carrefour: 3,2 milioni di euro (Spagna)
L'autorità spagnola per la protezione dei dati, l'Agencia Española de Protección de Datos (AEPD), ha avviato un procedimento contro la catena di supermercati Carrefour Spain. Fine nell'importo totale di 3,2 milioni di euro inflitta. Le ragioni sono diverse violazioni della protezione dei dati legate a cinque fughe di dati consecutive nel periodo compreso tra ottobre 2022 e settembre 2023. Gli incidenti di sicurezza hanno riguardato Un totale di 118.895 conti clienti, in cui gli hacker sfruttano il cosiddetto Imbottitura di credenziali accesso non autorizzato. Tra le altre cose, sono stati compromessi nomi, indirizzi, date di nascita, dati identificativi e contatti.
L'AEPD osserva che Carrefour insufficiente misure tecniche e organizzative ai sensi dell'articolo 32 GDPR ha adottato per impedire tali attacchi. Inoltre, l’azienda avrebbe violato il Principio di Integrità e Riservatezza ai sensi dell'art. 5 par. 1 lett. f GDPR violare; in parte anche contro la Obbligo di notifica agli interessati ai sensi dell'articolo 34 GDPR.
Carrefour aveva sì segnalato autonomamente tutti e cinque i casi all'AEPD. L' Autorità di vigilanza rimprovera l'azienda, di aver reagito troppo tardi e in modo incompleto, in particolare per quanto riguarda l'informazione degli interessati in merito ai primi tre incidenti di sicurezza.
La ripartizione concreta delle sanzioni amministrative è la seguente:
- 2 milioni di euro per violazione dell'articolo 5, paragrafo 1, lettera f) GDPR (Integrità e Riservatezza)
- 1 milione di euro per violazione dell'articolo 32 GDPR (Sicurezza dei dati)
- 200.000 euro per violazione dell'articolo 34 GDPR (Notifica alle parti interessate)
Carrefour aveva ammesso in parte la propria responsabilità per la comunicazione inadeguata, ma aveva contestato le altre accuse. L’AEPD, tuttavia, non ha accolto tali obiezioni e ha constatato che le misure di sicurezza adottate né sufficiente né tempestivo erano.
Fonte: Provvedimento sanzionatorio dell’AEPD nei confronti di Carrefour
23andMe: 2,31 milioni di sterline (Regno Unito)
L'autorità britannica per la protezione dei dati ICO (Information Commissioner’s Office) ha inflitto alla società statunitense di diagnostica genetica 23andMe una sanzione pecuniaria di 2,31 milioni di sterline (circa 2,7 milioni di euro). Motivo: nel corso di un attacco informatico su larga scala avvenuto nel 2023, sono stati compromessi i dati sensibili di 155.592 utenti britannici. L’attacco ha sfruttato le cosiddette tecniche di «credential stuffing», in cui sono state utilizzate credenziali rubate da precedenti fughe di dati non correlate per ottenere l’accesso non autorizzato agli account degli utenti. In questo modo sono state divulgate informazioni personali quali nomi, anni di nascita, luoghi di residenza, immagini del profilo, appartenenza etnica, alberi genealogici e referti medici.
L’ICO ha constatato che 23andMe non aveva implementato misure di sicurezza adeguate per prevenire tali attacchi. In particolare, mancavano ulteriori passaggi di verifica per l’accesso e il download dei dati grezzi relativi alle informazioni genetiche. Inoltre, l’azienda ha reagito con lentezza ai segnali di allarme: sebbene l’attacco fosse iniziato già nell’aprile 2023, un’indagine approfondita è stata avviata solo nell’ottobre 2023, dopo che un dipendente aveva scoperto che i dati rubati erano stati messi in vendita su Reddit.
L'indagine è stata condotta in collaborazione con l'Autorità canadese per la protezione dei dati. Essa sottolinea l'importanza della cooperazione internazionale in materia di protezione dei dati. L'ICO ha sottolineato che la protezione dei dati personali sensibili, in particolare delle informazioni genetiche, deve avere la massima priorità e che le aziende sono tenute ad adottare misure di sicurezza adeguate per proteggere tali dati.
Fonte: Comunicato stampa dell’Information Commissioner’s Office del 17 giugno 2025
Yliopiston Apteekki: 1,1 milioni di euro (Finlandia)
L'autorità finlandese per la protezione dei dati, Tietosuojavaltuutetun toimisto, ha inflitto alla catena di farmacie Yliopiston Apteekki una sanzione pecuniaria di 1,1 milioni di euro. Tra maggio 2018 e settembre 2022, l'azienda, nel proprio negozio online, Tracciamento-tecnologie quali Biscotti e strumenti di analisi, attraverso i quali i dati sensibili dei clienti venivano inoltrati a fornitori terzi come Google e Meta. Tali dati comprendevano informazioni relative all'aggiunta di farmaci al carrello, al clic sul pulsante di ordine, nonché agli indirizzi IP e ad altri elementi identificativi. In particolare, se durante la visita al negozio online i clienti avevano effettuato l'accesso ai propri account Google o Facebook, questi fornitori terzi erano in grado di identificare direttamente gli utenti.
L'indagine è stata avviata dopo che un dottorando dell'Università di Turku aveva segnalato alcune carenze in materia di protezione dei dati nelle farmacie online finlandesi. Yliopiston Apteekki ha adottato l'uso di Google e Meta-Tracciamento- ha sospeso l'utilizzo di tali tecnologie nel settembre 2022, ma intende presentare ricorso contro la decisione dell'autorità garante della protezione dei dati dinanzi al tribunale amministrativo.
L'Autorità per la protezione dei dati ha sottolineato la particolare delicatezza di Dati sulla salute e la necessità di misure di protezione adeguate per garantire la fiducia dei clienti nelle farmacie online.
Dipartimento della protezione sociale: 550.000 euro (Irlanda)
Il 12 giugno 2025 la Commissione irlandese per la protezione dei dati (DPC) ha concluso la sua indagine sull'uso della tecnologia di riconoscimento facciale nell'ambito della registrazione SAFE 2 per la carta dei servizi pubblici (PSC) da parte del Dipartimento della protezione sociale (DSP). L'indagine, iniziata nel luglio del 2021, si è concentrata sui seguenti aspetti Elaborazione dati biometrici del volto e l'uso di tecnologie corrispondenti durante il processo di registrazione.
Il DPC ha riscontrato che il DSP ha violato diverse disposizioni del Regolamento generale sulla protezione dei dati (GDPR) si è infortunato:
- Articolo 5, paragrafo 1, lettera a), articolo 6, paragrafo 1, e articolo 9, paragrafo 1.: Il DSP non è riuscito a dimostrare l'esistenza di una base giuridica valida per la raccolta dei dati biometrici nell'ambito della registrazione SAFE 2.lui
- Articolo 5, paragrafo 1, lettera e): A causa della mancanza di una base giuridica, anche la conservazione di questi dati era illegittima.
- Articolo 13, paragrafo 1, lettera c), e articolo 13, paragrafo 2, lettera a).Il Obbligo di informazione nei confronti delle persone interessate non sono stati rispettati in misura sufficiente.
- Articolo 35, paragrafo 7, lettere b) e c): L'analisi effettuata Valutazione d'impatto sulla protezione dei dati era incompleto.
Di conseguenza, la DPC ha imposto una multa di 550.000 euro alla DSP e ha ordinato alla Ditta di Elaborazione dati biometrici nell'ambito della registrazione SAFE 2 entro nove mesi, a meno che non si possa dimostrare una base giuridica valida.
La DPC ha sottolineato che le sue conclusioni non si pronunciano in merito all’introduzione in linea di principio della registrazione SAFE 2, ma si riferiscono esclusivamente al rispetto dei requisiti in materia di protezione dei dati.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French