Il GPDP ha concluso l’esame senza ravvisare, allo stato degli atti, inosservanza degli obblighi di cui agli artt. 33 e 34 del Regolamento (UE) 2016/679.

Con l’allegata determinazione ne è stata disposta l’archiviazione ai sensi degli artt. 19, comma 5, e 11, comma 1, lett. b) del Regolamento del Garante n. 1/2019.

Dalle analisi condotte da “Mantova Ambiente” sono emerse alcune categorie di dati personali che di fatto rispecchiano quanto già comunicato nelle precedenti note.

Tuttavia, a causa della mole di informazioni esfiltrate, non risulta possibile individuare in maniera completa l’insieme di dati esfiltrati.

Pertanto, non è possibile fornire un dettaglio maggiore rispetto a quanto già comunicato con il precedente aggiornamento.

Le analisi condotte dal Gruppo TEA hanno richiesto molto tempo a causa di oggettive difficoltà tecniche connesse al download delle informazioni esfiltrate (come ad esempio la bassa velocità di download e la discontinuità dell’URL necessario ai fini del download), nonché alla mole delle informazioni da esaminare che, come è noto, non riguardano solo Mantova Ambiente ma anche altre società del Gruppo Tea.

In attesa di eventuali ulteriori risultanze derivanti dall’analisi del perito esterno, nonostante l’esorbitante sforzo richiesto, si è tentato di procedere manualmente all’analisi dei singoli documenti al fine di individuare le categorie di dati personali ivi presenti e di quantificare il numero di soggetti interessati coinvolti.

Tale analisi, sebbene sia stata effettuata solo su un campione dei file che parrebbero essere stati esfiltrati (per le ragioni espresse in precedenza), ha permesso di rilevare le categorie di dati personali relativi agli utenti dei servizi di igiene urbana di questo Comune che sono risultate compromesse, quali:

• dati anagrafici;
• dati di contatto.

Si informa la gentile utenza che in relazione ai servizi affidati alla Società Tea Spa (Mantova Ambiente) la stessa ha fatto pervenire al Comune una comunicazione di violazione dei dati personali ai sensi dell’art. 33 c. 2 GDPR relativi all’attacco informatico dalla stessa registrato il 16 aprile 2024 che ha interessato alcune applicazioni tecnologiche dell’azienda.

Alla luce dell’istruttoria, condotta dal team di specialisti interni ed esterni a Tea, si registra che non vi è stata alcuna perdita o cancellazione definitiva di dati personali e che essi sono tutti in pieno possesso dell’azienda. Contestualmente Tea ci ha segnalato che la violazione è stata rivendicata da un gruppo criminale che ha dichiarato di aver esfiltrato alcune informazioni, tra cui dati personali, dandone dimostrazione attraverso alcuni campioni esemplificativi.

Da quanto comunicatoci, ad oggi non è stato ancora possibile appurare la natura e la consistenza della perdita di riservatezza relativamente a dati personali trattati in nome e per conto del Comune. A tal riguardo Tea ha garantito di proseguire nelle indagini, anche attraverso attività di analisi forensi, per comprendere quali categorie di dati siano stati oggetto dell’esfiltrazione e al fine di consentire al titolare del trattamento gli eventuali successivi adempimenti previsti dalla normativa.

Il Comune invita i cittadini/utenti a rivolgersi, per ulteriori approfondimenti e buone prassi da seguire in questi casi, ai riferimenti che seguono.