Con provvedimento n. 280 del 17 aprile 2026, il Garante per la protezione dei dati personali ha sanzionato The European House – Ambrosetti S.p.A. — la società nota per il Forum di Cernobbio — con una sanzione di 85.000 euro e la pubblicazione del provvedimento sul proprio sito. La causa è stata un attacco informatico che ha comportato il furto delle credenziali di accesso di 61.670 persone.
Gli errori accertati dal Garante
Fornitori IT scelti senza verificarne le competenze e mai controllati nel tempo
La società aveva affidato sviluppo e gestione dei propri portali a fornitori esterni, dando per scontato che la sicurezza fosse compito loro. Solo dopo la violazione si è scoperto che quei fornitori non avevano le competenze adeguate in materia di protezione dei dati.
Il Garante ha stabilito che questa responsabilità, sia nella scelta del fornitore che nel controllo continuativo nel tempo, ricade interamente sul titolare, indipendentemente da chi abbia commesso l’errore materiale.
Il contratto scritto con il fornitore, cioè la nomina ex art. 28 GDPR, non è un adempimento burocratico: in sua assenza, o se è generico, la vostra esposizione in caso di incidente è totale.
Sistemi informatici mai verificati né aggiornati
L’attacco ha sfruttato una falla nei sistemi web nota da 20 anni: la cosiddetta “SQL injection”, tecnica con cui un malintenzionato entra in un database come chi forza una serratura difettosa. Semplici controlli periodici avrebbero individuato e corretto per tempo.
Password conservate senza protezione adeguata
Circa 36.000 password erano salvate in modo completamente leggibile. Altre 98.000 erano protette con un sistema datato e facilmente aggirabile.
Dati mai cancellati
Le credenziali rubate appartenevano in larga parte a sistemi dismessi dal 2020. Nessuno le aveva eliminate.
Conservare dati oltre il tempo necessario non è una precauzione: è una violazione.
Persone coinvolte avvisate con due mesi di ritardo
La società ha informato gli utenti solo dopo essere stata formalmente obbligata dal Garante. Il ritardo era dovuto anche al timore di danni all’immagine.
La domanda pratica per la vostra azienda
I vostri fornitori IT che gestiscono dati personali hanno sottoscritto un Accordo sul trattamento dei dati personali ex art. 28 GDPR?
La mancata sottoscrizione dell’Accordo espone sia il titolare del trattamento che il responsabile: il primo perché non può dimostrare di aver adempiuto ai propri obblighi, il secondo perché non può rifiutarsi di sottoscriverlo.
