Presunto DataBreach di Nuvola: cosa c’è di vero?

L’ing. Luciano Bernardo e la Dott.ssa Daiana Rivetti in questo articolo ci aiutano a capire la situazione del “Presunto DataBreach di Nuvola: cosa c’è di vero?”

La recente attenzione mediatica generata da alcune notizie relative a un presunto data breach della Ditta fornitrice del gestionale Nuvola, utilizzato da numerose istituzioni scolastiche italiane, impone alcune riflessioni giuridiche ponderate.

Secondo quanto chiarito dalla stessa società, infatti, la criticità segnalata non deriverebbe da una vulnerabilità del sistema informatico, bensì dalla pubblicazione impropria — da parte di singoli istituti scolastici — di documenti contenenti dati personali eccedenti nelle sezioni di Albo Pretorio e Amministrazione Trasparente. La giurisprudenza della Corte di Cassazione ha riconosciuto la responsabilità dell’amministrazione per la diffusione indebita di dati personali tramite siti istituzionali, configurando anche possibili profili risarcitori in caso di danno alla persona.

 Un ulteriore profilo di interesse riguarda il ruolo del responsabile del trattamento. Nel caso in esame, la società fornitrice del software, venuta a conoscenza del rischio, avrebbe effettuato una scansione massiva dei documenti pubblicati utilizzando parole chiave sensibili e procedendo all’oscuramento di file potenzialmente critici. La questione giuridica che emerge è tutt’altro che secondaria: fino a che punto il responsabile può intervenire autonomamente sui dati trattati per conto del titolare? Al di là degli aspetti giuridici più tecnici, la vicenda offre uno spunto di riflessione più ampio sul funzionamento concreto della protezione dei dati nella pubblica amministrazione

La conformità normativa non può essere delegata esclusivamente alla tecnologia: richiede una governance consapevole, organizzazione interna e cultura della protezione dei dati. In definitiva, il caso non sembra rappresentare tanto una falla tecnologica quanto piuttosto un esempio emblematico delle difficoltà di bilanciamento tra trasparenza amministrativa e tutela della riservatezza.

Presentazione di Paola Perlini

Articolo di Luciano Bernardo e Daiana Rivetti

Presunto DataBreach di Nuvola: cosa c’è di vero?

La recente attenzione mediatica generata da alcune notizie relative a un presunto data breach che coinvolgerebbe la società Madisoft S.p.A., fornitrice del gestionale Nuvola utilizzato da numerose istituzioni scolastiche italiane, impone alcune riflessioni giuridiche più ponderate rispetto alla narrazione iniziale.

Secondo quanto chiarito dalla stessa società, infatti, la criticità segnalata non deriverebbe da una vulnerabilità del sistema informatico, bensì dalla pubblicazione impropria — da parte di singoli istituti scolastici — di documenti contenenti dati personali eccedenti nelle sezioni di Albo Pretorio e Amministrazione Trasparente. La distinzione non è meramente tecnica, ma giuridicamente rilevante: nel primo caso si parlerebbe di violazione della sicurezza dei sistemi del software; nel secondo, più verosimilmente, di un trattamento illecito dovuto a errore umano o a carenze organizzative interne ai titolari del trattamento.  Il quadro normativo di riferimento è rappresentato dal Regolamento generale sulla protezione dei dati e dalla disciplina nazionale contenuta nel Codice Privacy (D.Lgs. 196/2003) come modificato dal D.Lgs. 101/2018 e dal GDPR. I principi cardine restano quelli di liceità, correttezza, trasparenza e soprattutto minimizzazione dei dati, sanciti dall’articolo 5 del GDPR. In ambito scolastico, dove la base giuridica del trattamento deriva spesso da obblighi di legge connessi alla trasparenza amministrativa, il rischio principale non è l’assenza di base giuridica, bensì l’eccesso di informazione pubblicata rispetto alle finalità perseguite; proprio su questo punto si è più volte espresso il Garante per la protezione dei dati personali, affermando che la pubblicazione online di documenti amministrativi non legittima la diffusione indiscriminata di dati personali. Già con le “Linee guida in materia di trattamento dei dati personali contenuti in atti e documenti amministrativi” del 2014, l’Autorità aveva chiarito che la trasparenza non può tradursi in una compressione sproporzionata del diritto alla riservatezza. Successivi provvedimenti sanzionatori hanno ribadito il medesimo principio, anche nei confronti di enti pubblici che avevano pubblicato online documenti contenenti dati sanitari, informazioni economiche o copie di documenti di identità non pertinenti rispetto agli obblighi normativi. La giurisprudenza amministrativa ha confermato questa impostazione. Il Consiglio di Stato ha più volte sottolineato che il principio di trasparenza deve essere bilanciato con il diritto alla protezione dei dati personali, richiamando il criterio di necessità e proporzionalità nella diffusione delle informazioni. In particolare, la sentenza del Consiglio di Stato n. 1972 del 2019 ha evidenziato come la pubblicazione online costituisca una forma di diffusione particolarmente invasiva, che richiede un’attenta valutazione preventiva dei dati contenuti nei documenti. Analogamente, la giurisprudenza della Corte di Cassazione ha riconosciuto la responsabilità dell’amministrazione per la diffusione indebita di dati personali tramite siti istituzionali, configurando anche possibili profili risarcitori in caso di danno alla persona.

 Un ulteriore profilo di interesse riguarda il ruolo del responsabile del trattamento (Madisoft spa). Nel caso in esame, la società fornitrice del software, venuta a conoscenza del rischio, avrebbe effettuato una scansione massiva dei documenti pubblicati utilizzando parole chiave sensibili e procedendo all’oscuramento di file potenzialmente critici. La questione giuridica che emerge è tutt’altro che secondaria: fino a che punto il responsabile può intervenire autonomamente sui dati trattati per conto del titolare? L’articolo 28 del GDPR stabilisce che il responsabile debba agire solo su istruzioni documentate del titolare, ma allo stesso tempo gli impone obblighi di collaborazione e assistenza, soprattutto in materia di sicurezza e gestione delle violazioni. In questo equilibrio si inserisce il tema della liceità dell’intervento: se l’attività di scansione e oscuramento rientrava nelle misure tecniche concordate contrattualmente o in procedure di sicurezza previste, essa potrebbe essere considerata legittima e persino doverosa; diversamente, potrebbero emergere profili di criticità legati all’accesso ai dati oltre le istruzioni ricevute. Non sarebbe la prima volta che il Garante affronta situazioni analoghe. In diversi provvedimenti relativi a fornitori di servizi digitali per la pubblica amministrazione, l’Autorità ha evidenziato che il responsabile del trattamento non può assumere iniziative autonome che incidano sulle finalità del trattamento, ma deve limitarsi alle attività necessarie per garantire sicurezza e conformità, sempre nel perimetro delle istruzioni ricevute. Tuttavia, è altrettanto vero che la normativa europea incoraggia l’adozione di misure proattive di sicurezza, secondo il principio di accountability. Al di là degli aspetti giuridici più tecnici, la vicenda offre uno spunto di riflessione più ampio sul funzionamento concreto della protezione dei dati nella pubblica amministrazione. Le violazioni non derivano sempre da attacchi informatici sofisticati; molto spesso nascono da errori operativi, scarsa formazione del personale o procedure interne non adeguate. Il fattore umano resta, ancora oggi, uno degli elementi più critici nella gestione dei dati personali. Per questo motivo, appare particolarmente opportuno che le istituzioni scolastiche effettuino verifiche puntuali sui documenti pubblicati, adottino procedure di controllo preventivo e rafforzino la formazione del personale autorizzato al trattamento.

La conformità normativa non può essere delegata esclusivamente alla tecnologia: richiede una governance consapevole, organizzazione interna e cultura della protezione dei dati. In definitiva, il caso non sembra rappresentare tanto una falla tecnologica quanto piuttosto un esempio emblematico delle difficoltà di bilanciamento tra trasparenza amministrativa e tutela della riservatezza. Un equilibrio che il legislatore europeo e nazionale hanno delineato con chiarezza, ma che nella pratica quotidiana richiede attenzione costante, competenze adeguate e responsabilità condivise tra titolari e responsabili del trattamento.

#DataProtection #DirittoAllaRiservatezza #TrasparenzaAmministrativa #MinimizzazioneDati #DPO #PrivacyOfficer