di Michele Pinassi*
SIENA. Avete presente quando, accedendo a una struttura ricettiva italiana, ci viene chiesto il documento per poter recuperare gli estremi necessari alla registrazione sul portale AlloggiatiWeb della Polizia di Stato, in ottemperanza alla normativa antiterrorismo?
Ecco, a quanto pare non sempre la gestione dei nostri documenti viene fatta con le dovute cautele, ad esempio cancellandoli dopo la registrazione, considerando che nei giorni scorsi ci sono state ben 3 rivendicazioni di altrettanti attacchi a strutture ricettive italiane (a quanto pare, parliamo di tre strutture ricettive locate in Venezia, Ischia e Cervia).
Secondo quando riportato negli annunci pubblicati su un forum specializzato dal medesimo utente, “mydocs“, e ripresi dalla stampa di settore, parliamo di circa 70200 documenti di identità (passaporti, carte di identità, patenti) degli ospiti delle strutture.
A quanto risulta dagli annunci di vendita dei documenti esfiltrati, sono tutti frutto di accessi non autorizzati avvenuti piuttosto di recente, il che fa ragionevolmente supporre che vi siano soprattutto copie di documenti in corso di validità.
Onestamente, sorprendono i numeri in gioco: soprattutto per due delle tre strutture colpite, parliamo di oltre 30.000 documenti (in un caso, 38.000 documenti) che fa ragionevolmente supporre la conservazione degli stessi in una sorta di “archivio”, a quanto pare non molto ben protetto. Impossibile non chiedersi come mai venivano conservati queste copie dei documenti di identità degli ospiti, considerando che la normativa prevede la comunicazione degli estremi. Anche considerando eventuali esigenze temporanee come la verifica dei pagamenti o altro, i numeri riportati fanno pensare a tempi di conservazione importanti. Chissà se i clienti ne erano consapevoli, quando hanno fornito i documenti necessari alla registrazione presso le strutture…
Gli stessi clienti che oggi si trovano vittime inconsapevoli del commercio, purtroppo molto fiorente, di dati personali che saranno probabilmente usati per campagne di phishing e potenziali furti d’identità, anche se è bene ricordare che un documento di identità ha valore solo e unicamente se presentato in originale (foto e fotocopie non hanno alcun valore).
Purtroppo non sempre siamo consapevoli delle conseguenze di fornire i nostri documenti di identità a chiunque, talvolta direttamente in formato digitale magari “via WhatsApp“, ignorando che le informazioni lì contenute potrebbero finire in mani sbagliate ed essere usate contro di noi.
Per contro, è anche difficile difendersi da chi, continuamente e talvolta anche senza motivo, continua a richiedere la “copia del documento di identità” in calce alle richieste o per il check-in a una struttura ricettiva, quando in realtà sarebbero sufficienti gli estremi che dovrebbero essere custoditi con “misure tecniche e organizzative adeguate” (art. 24 del Regolamento EU 2016/679 “GDPR”), oltre alla necessaria valutazione della sicurezza del trattamento (art 32 del “GDPR”) che prevede di tener “conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.“
La notizia della massiccia violazione è stata data anche dal CERT di AgID e la speranza è che siano stati avvisati anche i Titolari delle 3 strutture ricettive colpite, così che possano prendere le contromisure necessarie a tutelare gli interessi e le libertà dei 70200 cittadini che vedono i loro dati personali finiti online. Che, altrimenti, potrebbero pure essere inconsapevoli dei potenziali rischi a cui vanno incontro.
Il mio personale consiglio è sempre quello di non fornire mai copia del documento di identità o, se proprio necessario, prima dell’invio applicare un watermark per renderne evidente lo scopo (es. “soggiorno presso Hotel XYZ“). Questo non impedirà a un malintenzionato di usarne i dati ma, ne caso dovesse finire in giro sul mercato dei dati personali, sarà chiara la provenienza del documento.
