fb

Sanzione per raccolta dati su credit rating e mancanza di base giuridica

by

L’Autorità di controllo norvegese ha emesso una sanzione contro ODIN FLISSENTER AS (distributore di piastrelle) di circa 14.000 euro per avere effettuato una verifica di solvibilità su un’impresa individuale senza avere le basi giuridiche per questo tipo di trattamento.

Il contesto della sanzione è stato un reclamo successivo ad una verifica di credit rating effettuata da ODIN FLISSENTER su una impresa individuale che non aveva alcun rapporto con l’azienda. L’ammontare della sanzione è stato ridotto tenendo conto delle conseguenze che la pandemia di COVID-19 ha avuto sul titolare del trattamento in questo periodo.

Il provvedimento è interessante in particolare per due motivi (che sono alla base della sanzione):

  • le informazioni creditizie sono considerate dati personali quando riguardano un titolare identificabile e direttamente collegato all’impresa sotto il profilo patrimoniale, come nel caso dell’impresa individuale coinvolta in questa verifica;
  • Non è lecito trattare dati di credit rating (anche se accessibili tramite servizi leciti) quando non vi è una base di legittimità giuridica.

Il credit rating, si basa su dati personali provenienti da diverse fonti e mostra un punteggio che indica la probabilità che una persona fisica o un’impresa individuale sia in grado di onorare i propri impegni economici e mostra anche dettagli sull’impresa quali dati sui pagamenti, garanzie e coefficiente di indebitamento, la sanzione conferma come non si possano trattare tali dati fuori dalle previsioni del Reg. UE 2016/679 anche se riguardano persone giuridiche quando si tratta di enti patrimonialmente collegati ad un titolare identificabile.

(fonte: EDPB)

Instagram, Twitter e attacchi phising

by

I ricercatori di BleepingComputer sono venuti a conoscenza dell’ennesimo attacco di phishing ai danni di utenti di Twitter, Instagram e Tik Tok. Gli utenti ricevono una e-mail che li induce ad aprire una pagina web graficamente molto credibile nella quale si chiede la verifica delle informazioni dell’account per poter ricevere una “spunta blu”, ovvero quel simbolo che attesta che l’account è stato verificato ed è autentico (simbolo utilizzato inizialmente dalle persone famose, dagli influencer, dalle aziende e ora accessibile a tutti). Le pagine sono credibili anche se leggendo gli URL di provenienza (gli indirizzi web riportati in alto nel browser) qualcosa in più di un sospetto dovrebbe nascere. L’utente poi dovrebbe dubitare anche perché la procedura per ricevere la “spunta blu”, per quanto non impossibile, non è così semplice. Gli account sottratti in questo modo vengono poi utilizzati per campagne di disinformazione, per truffe su criptovalute o altro.

Quali possono essere le difese? Se ci si accorge di avere inserito la password di un proprio account in una pagina web sospetta, come prima cosa da fare è entrare nel proprio account e cambiare password. La seconda è attivare un sistema di autenticazione a due fattori (ad es. un OTP da ricevere con una applicazione largamente supportata come Google Authenticator, Duo o Microsoft Authenticator) che può prevenire l’accesso al proprio account da parte di un truffatore che conosce i nostri username e password.

(fonte: bleepingcomputer.com)

Garante norvegese sanziona l’ente stradale nazionale

by

L’autorità di controllo norvegese ha sanzionato l’ente stradale nazionale per un totale di € 37.400 per avere utilizzato in modo eccessivo i dati provenienti dagli impianti di videosorveglianza relativi a fornitori, impiegati e partner commerciali. Questi dati sono stati utilizzati per documentare inadempienze contrattuali (o presunte tali) diversi mesi dopo gli eventi, utilizzo incompatibile con la finalità originaria dell’impianto di videosorveglianza che era la possibilità di intervenire prontamente in caso di problemi di sicurezza. Nel valutare la compatibilità o meno del trattamento dati con la finalità iniziale, il Garante norvegese ha enfatizzato come il nuovo trattamento vada ampiamente a svantaggio delle controparti dell’ente e sia in conflitto con le finalità attese dagli interessati in relazione alla raccolta dei dati di videosorveglianza. Inoltre l’ente ha violato le norme sulla conservazione dei dati di videosorveglianza avendo conservato gli stessi per più dei sette giorni consentiti.

(fonte: edbp.europa.eu.com)