In questo articolo Indice dei contenuti 2 sezioni
Una doppia sanzione da 1,8 milioni di euro complessivi è arrivata sul tavolo di Vodafone in Spagna, dopo che l’Agenzia spagnola per la protezione dei dati, la AEPD, ha contestato all’operatore due distinte violazioni del GDPR, il regolamento europeo sulla privacy. Due fascicoli separati, due storie diverse, un unico filo conduttore: la gestione dei dati personali dei clienti e la responsabilità di chi quei dati li tratta, anche quando il lavoro sporco lo fa qualcun altro. Vodafone ha già impugnato entrambe le decisioni davanti all’Audiencia Nacional e ha annunciato che rivarrà le somme sui fornitori coinvolti.
Vodafone: una seconda linea mai richiesta e una fattura finita nelle mani sbagliate
Il primo procedimento vale 1.050.000 euro e riguarda irregolarità nella gestione del canale telefonico di assistenza clienti. La AEPD contesta la violazione dell’articolo 6.1 del regolamento, quello sul trattamento dei dati personali, e dell’articolo 32, che riguarda le misure tecniche e organizzative di sicurezza. All’origine di tutto c’è la denuncia di una cliente che si è ritrovata una seconda linea mobile attivata a suo nome senza averla mai chiesta.
Secondo l’autorità, la documentazione presentata dall’operatore mostrava incongruenze tali da non permettere di accreditare in modo legittimo l’identità di chi aveva fatto la richiesta. Vodafone sostiene invece che ci sia stata la validazione di un codice OTP inviato al telefono dell’intestataria. Nello stesso fascicolo pesa anche un altro episodio: la consegna non autorizzata di un duplicato di fattura a un terzo, sempre tramite il canale telefonico. L’operatore che ha risposto alla chiamata ha modificato l’indirizzo email registrato e ha spedito il documento, con i dati personali della denunciante, a una persona che non era titolare della linea.
La conclusione dell’autorità è netta: l’esternalizzazione del servizio clienti non solleva l’azienda dalle sue responsabilità sul trattamento dei dati. Viene sanzionata la scarsa solidità del sistema di fronte ad accessi non autorizzati, che ha reso possibile modificare i contatti e consegnare documentazione privata a chi non aveva dimostrato la propria identità. Vodafone non ci sta e parla di condotta fraudolenta da parte di un terzo, oltre che di un fornitore che non ha rispettato le policy di sicurezza dell’operatore. Il contratto, spiega l’azienda, era stato firmato tramite attivazione di un codice OTP via SMS sulla prima linea intestata alla reclamante, circostanza che in un primo momento avrebbe impedito di individuare l’attività fraudolenta.
La falla di Super WiFi e i 60.000 clienti coinvolti
Il secondo fascicolo porta una multa da 750.000 euro per falle di sicurezza nella piattaforma del servizio Super WiFi, che hanno portato al furto dei dati di circa 60.000 clienti. Le informazioni sottratte comprendevano nome, cognome, indirizzi email, posizione geografica, tipo di dispositivo, versione del sistema operativo e operatore di rete.
La violazione dei dati risale a novembre 2023, dopo un attacco informatico ai server di Plume, il fornitore dell’infrastruttura digitale del servizio. Quando Plume ha notificato ufficialmente l’attacco, Vodafone ha girato la segnalazione alla AEPD e all’INCIBE e ha avvisato i clienti coinvolti. A febbraio 2025 l’operatore ha smesso di commercializzare il sistema basato sulla tecnologia Plume, passando alla piattaforma Super WiFi 6 gestita da AirTies.
L’indagine ha stabilito che la piattaforma gestita da Plume non disponeva di un meccanismo di autenticazione adeguato né di sistemi di cifratura delle informazioni, cosa che ha facilitato la sottrazione non autorizzata del database. Anche qui l’operatore respinge le accuse: i dati coinvolti, spiega, non provenivano dai sistemi Vodafone né erano stati forniti a Plume, ma erano raccolti e gestiti direttamente dal fornitore. Nessun dato finanziario, nessuna password, nessun sistema Vodafone compromesso e nessun impatto sulla connettività del servizio.
Dopo la notifica, l’azienda ha attivato i propri processi interni di valutazione e ha coinvolto i team di cybersicurezza per analizzare la portata dell’incidente e verificare gli obblighi contrattuali e normativi. Plume, da parte sua, ha adottato misure correttive immediate e i clienti colpiti sono stati contrassegnati come vittime di frode, così da garantire una protezione maggiore alle operazioni richieste sui loro account. La sanzione è già stata pagata, ma il ricorso resta depositato e l’importo verrà girato al fornitore.
