Accessi non configurati: il caso della città metropolitana di Sassari

La vicenda al centro del provvedimento n. 426 dell’11 giugno 2026 dell’Autorità garante per la protezione dei dati personali ha avuto origine da una notifica di data breach da parte della Città Metropolitana di Sassari, in cui viene riportata una violazione di dati personali derivante da un “eventuale accesso non autorizzato dipendente da cause organizzative”.

L’accesso non autorizzato ha riguardato infatti la comunicazione di una contestazione disciplinare transitata attraverso il protocollo, consentendone la visualizzazione da parte degli utenti del gestionale di protocollo.

Le cause organizzative, invece, sono state la mancata implementazione del principio minimo, consentendo di fatto a tutto il personale ad avere accesso al sistema documentale, prescindendo da quanto necessario per lo svolgimento delle proprie funzioni, ragioni d’ufficio o di servizio.

Ecco cos’è successo e perché il provvedimento del garante Privacy alla città metropolitana di Sassari è lezione per enti pubblici ed organizzazioni private sull’importanza della gestione degli accessi.

Il data breach della nota riservata visibile agli utenti del protocollo

Nella stessa notifica di data breach, viene riportata l’indicazione del DPO di implementare misure atte a regolare gli accessi degli utenti del gestionale mediante l’assegnazione di privilegi coerenti con le mansioni svolte, la previsione di un protocollo riservato accessibile solo a figure apicali, nonché la previsione di un’articolazione del protocollo per servizi e uffici.

Questo, a conferma che una corretta configurazione degli accessi non era coerente con l’organizzazione effettiva dell’ente, consentendo, di fatto, la visione di documenti senza garanzie effettive relative all’eventuale
riservatezza degli stessi.
Inoltre, tale evento è stato anche oggetto di specifico reclamo da parte della dirigente coinvolta, nel quale veniva lamentato che la nota riservata era stata protocollata con piena visibilità, dandone così accessibilità a tutti gli operatori in possesso di un determinato profilo di autorizzazione, senza tenere conto delle specifiche esigenze di riservatezza.

Le violazioni

L’omessa configurazione del protocollo informatico ha comportato così la contestazione da parte del Garante Privacy della potenziale violazione degli artt. 5, par. 1 lett. f), e par. 2, e 25 GDPR, riguardante i principi di integrità e riservatezza, responsabilizzazione e privacy by design, «per aver dato luogo, in ragione della scorretta configurazione del proprio protocollo informatico, a
comunicazioni di dati personali a soggetti terzi non autorizzati al trattamento, con conseguente violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), del Regolamento e 2-ter del Codice, nonché, in relazione ai dati personali appartenenti a categorie particolari o relativi a reati, degli artt. 9 e 10 del Regolamento e 2-sexies e 2-octies del Codice.».

Sanzione Garante alla città metropolitana di Sassari: il nodo cruciale della gestione degli accessi

Le due criticità emerse sono evidenti ed incontrovertibili: gli utenti del gestionale di protocollo hanno avuto un’ampiezza e profondità di accesso superiore a quanto necessario potendo visualizzare documenti non pertinenti con gli incarichi svolti; non è stata adottata una modalità di protocollazione per note riservate.
Il comune denominatore di entrambe riguarda la corretta progettazione ed implementazione degli accessi, la cui carenza comporta che tutta la documentazione che transita per il sistema informatico può essere visualizzata da una platea di soggetti più ampia, esponendo così al rischio
di perdita di confidenzialità (interna) delle comunicazioni.

Data breach, frutto di debolezza organizzativa interna e non un attore esterno

Da qui è derivato, infatti, l’evento di data breach attenzionato dall’istruttoria del Garante Privacy che ha riguardato una debolezza organizzativa interna e non un attore esterno, confermando ancora una volta che un evento di violazione di confidenzialità si può realizzare anche per effetto di un accesso effettuato da parte del personale interno.
Nel caso oggetto di istruttoria, il registro è unico e prevede un’unica sezione, mentre le abilitazioni degli utenti prevedono tre livelli di visibilità: registro, sezione e singoli corrispondenti, con un valore numerico da 1 a 9.

Tutti gli operatori del protocollo erano abilitati al registro generale con visibilità di livello 4, con livello 5 per i protocolli ordinari e livello 0 per i protocolli riservati.

Da un’attività di controllo interno svolta in seguito alla segnalazione, è risultato che su 29 utenti, 7 disponevano erroneamente di un profilo riservato agli operatori dell’ufficio protocollo, per cui è stata disposta una correzione successiva.

Non solo progettazione, ma anche controllo

È fondamentale non solo progettare correttamente gli accessi secondo il privilegio minimo, ma effettuare verifiche e controlli periodici al fine di prevenire situazioni di erronea configurazione.

Un ulteriore aspetto di rilievo ha riguardato l’impossibilità di ricostruire con precisione gli accessi effettuati a causa dell’indisponibilità dei backup dei log. La conservazione e disponibilità delle evidenze di audit rappresentano infatti un elemento fondamentale sia in tema di sicurezza che di accountability.
La regola per l’accessibilità dei dati personali relativi al rapporto di lavoro, sia in ambito pubblico che privato, prevede che la conoscibilità degli stessi debba seguire le mansioni assegnate e le scelte organizzative datoriali.

La conoscenza indebita di tali dati si realizza nel momento in cui l’accesso non è necessario per lo svolgimento delle funzioni attribuite al personale, comportando così l’esigenza per il titolare di dover predisporre misure e garanzie adeguate a seguire il principio di privilegio minimo, fra cui rientra la corretta configurazione dei sistemi di gestione documentale.
Come evidenziato nel corso dell’istruttoria, infatti, l’accesso selettivo alla documentazione presente nel protocollo è un obbligo che il titolare deve declinare mediante l’adozione di misure tecniche e organizzative per evitare accessi indebiti da parte del personale non autorizzato, «ricorrendo in particolare a procedure differenziate e/o riservate con riguardo alla protocollazione di documenti contenenti dati personali dei dipendenti e inerenti lo specifico rapporto di lavoro».

Garante: la città metropolitana di Sassari doveva effettuare riesame e verifica periodica

Andando oltre, la configurazione non può essere una tantum ma deve essere oggetto di riesame e verifica periodica, così da prevenire assegnazioni di privilegi non conformi rispetto alle prescrizioni normative, anche per effetto dell’espresso richiamo dell’art. 32 par. 4 GDPR:

«Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.»
Da qui deriva infatti un obbligo di controllo circa l’assegnazione di accessi e privilegi.

L’esito dell’istruttoria e la lezione da apprendere dal Garante sul caso Sassari

L’istruttoria ha accertato che la Città Metropolitana di Sassari non ha configurato il protocollo informatico coerentemente con la struttura organizzativa interna, consentendo l’accessibilità a documenti contenenti dati personali a personale non autorizzato al trattamento di tali dati.
Questo ha confermato le contestazioni avanzate, con l’illiceità del trattamento dei dati personali in ragione della scorretta configurazione del protocollo informatico, con violazione degli artt. 5, par. 1, lett. a) e f), e par. 2, 6, par. 1, lett. c) ed e), e parr. 2 e 3, 9, 10 e 25 GDPR, nonché 2-ter, 2-sexies e 2-octies del Codice, per l’omessa attuazione dei principi di minimizzazione, integrità e riservatezza, riservatezza e privacy by design, e la comunicazione indebitamente svolta attraverso il sistema del protocollo informatico in difetto di una base giuridica idonea, anche relativa a dati personali appartenenti a categorie particolari o reati comportando l’irrogazione di una sanzione pari a 12 mila euro.

La riorganizzazione della gestione degli accessi al protocollo, mediante misure tecniche e disposizioni di servizio, che successivamente ha visto l’ente attuare l’azzeramento e la riconfigurazione dei profili al fine di prevenire il ripetersi della violazione, ha reso non necessaria l’adozione di ulteriori misure correttive.

Il principio del need-to-know

La corretta configurazione dei sistemi documentali e dei privilegi di accesso avviene infatti impostando e controllando le regole di assegnazione, integrando sia un requisito di sicurezza che di compliance.

In mancanza, ne derivano una serie di violazioni come nel caso oggetto del provvedimento in esame.

La lezione che emerge dal provvedimento del Garante sul caso di Sassari è chiara: il principio del need-to-know non può essere considerato un adempimento formale, ma un requisito essenziale di sicurezza e di compliance.

Profili autorizzativi, segregazione degli accessi, verifiche periodiche dei privilegi e disponibilità delle evidenze di audit costituiscono elementi fondamentali per prevenire violazioni di riservatezza generate dall’interno dell’organizzazione, spesso altrettanto impattanti di un attacco proveniente dall’esterno.