Un messaggio di posta elettronica con oggetto “Comunicazione di violazione dei dati personali ai sensi dell’art. 34 del Regolamento UE 679/2016” sta arrivando a chi ha comprato biglietti o si è registrato sul portale della società pubblica di trasporto ferroviario.
Pur titolare di una Carta Freccia non l’ho ancora ricevuta e non so cosa pensare. I miei dati sono sfuggiti alla bestiale razzia che gli hacker hanno fatto in quegli archivi elettronici sette mesi fa oppure il gestore si è semplicemente dimenticato di avvisarmi?
La mail – che sta rimbalzando su Internet – arriva da “noreply@info.trenitalia.it” ovvero da un indirizzo che non consente di rispondere e interloquire con il mittente. Il sistema è diffuso e ha due sostanziali ragioni di esistere. La prima è evitare un disordinato flusso di richieste che sarebbe difficile gestire. La seconda è scongiurare un fenomeno virale di bestemmie e insulti da parte dell’utenza che, così sfogando la propria rabbia, darebbe prova di maleducazione e di pervicace blasfemia.
Il tono della missiva è estremamente assertivo e fa capire con quanta attenzione gli informatici del Gruppo FS e dei suoi fornitori tecnologici si siano adoperati per capire cosa era successo e, soprattutto, finito sui giornali già a novembre dell’anno passato. I giornali fanno presto a parlare di “data breach” o di altre scorribande dei moderni pirati e quindi anche certe rivelazioni clamorose non devono far sussultare chi le legge e magari pensa di doversi preoccupare.
Hanno fatto bene a prendersi tutto questo tempo che il legislatore non ha ritenuto necessario e ha ridotto a 72 ore. E così che si spiega la frase “Per individuare con precisione i soggetti interessati potenzialmente coinvolti è stato necessario svolgere approfondite analisi tecniche e di sicurezza da parte delle nostre strutture IT. Queste verifiche hanno richiesto tempo, perché si è trattato di ricostruire nel dettaglio eventuali accessi impropri ai dati.”
Uno sforzo titanico. Sembra di capire, infatti, che i tecnici abbiano preso uno ad uno i viaggiatori per vedere se erano “potenzialmente coinvolti”. Un lavoro certosino, gomma e matita alla mano, lente di ingrandimento e altri attrezzi del mestiere usati con maestria, ha consentito di render noto che “Solo al termine di queste attività siamo stati in grado di identificare i clienti interessati e inviare questa comunicazione”.
Il cliente del Gruppo FS non deve preoccuparsi perché le informazioni rubate sono poca roba: dati anagrafici e identificativi (nome, cognome, data e luogo di nascita del passeggero; nome e cognome dell’eventuale acquirente), dati di contatto (e-mail, numero di telefono), dati di viaggio (informazioni associate al titolo di viaggio, quali, a titolo esemplificativo, tratta, data e orario del viaggio, numero del titolo di viaggio), codice carta fedeltà ove associato al titolo di viaggio, Società/ Ente datore di lavoro, tipologia di offerta o servizio associata al titolo di viaggio e dati necessari a fruire di dette offerte, estremi documento d’identità, dati connessi alla generazione del titolo di viaggio…
Poca roba, tutto sommato. Poca roba, ma sufficiente a spianare la strada a chi vuol rubare l’identità a poveri malcapitati che – dopo aver sopportato ritardi e disagi fruendo dei servizi ferroviari – adesso devono temere sgradevoli sorprese e magari persino fastidi legali o addirittura qualche guaio giudiziario.
La cosa più suggestiva dell’incresciosa vicenda è la stravagante concezione della riservatezza che campeggia negli uffici del Gruppo FS. La mail in questione chiude con un imperativo: “Le informazioni contenute in questo messaggio sono di natura riservata e per uso esclusivo del solo destinatario della presente. Qualunque utilizzo, divulgazione o copia esterna non autorizzata o non altrimenti consentita è rigorosamente vietataario della presente.”
A parte il “vietataario della presente” che sfugge anche agli etimologi più incalliti, sorprende che un messaggio che non contiene dati personali (perché nemmeno lo sfortunato destinatario è citato individualmente e si nasconde dietro ad un “gentile cliente”) possa violare la disciplina in materia di privacy o “costituire violazione di altre norme di legge, nonché integrare condotta perseguibile penalmente”.
Si ha la vaga impressione che chi ha redatto il testo abbia immaginato che così facendo si sarebbe evitata la divulgazione del misfatto, che invece ha riempito le pagine dei giornali e che sta per innescare la più spettacolare “class action” in grado di cannibalizzare le casse delle Ferrovie dello Stato.
Viene da pensare che il messaggio in posta elettronica lo abbiano scritto gli hacker – che ormai hanno tutti i dati degli sfigati (me incluso) che hanno comprato biglietti FS – quasi si trattasse dell’ultima beffa ad un colosso dei trasporti…
Purtroppo la mail è vera e lascia trapelare – ma forse è solo una mia impressione – una tracotanza che troverà argine solo quando in un giudizio civile emergeranno le responsabilità e si definiranno risarcimenti che non saranno le elemosine di quando si giunge alla stazione d’arrivo con ignobile ritardo…
Niente paura. Non se ne parla già più. Come se nulla fosse successo.
Leggi tuttoDetails
