L’autorità spagnola per la protezione dei dati, AEPD, ha inflitto a Vodafone Spagna sanzioni per un totale di 1,8 milioni di euro. I provvedimenti riguardano due distinte violazioni del GDPR: una collegata alla sicurezza delle procedure telefoniche del servizio clienti e l’altra a un attacco informatico che ha interessato la piattaforma Super WiFi.
L’operatore, controllato da Zegona, ha già versato gli importi richiesti, ma ha deciso di contestare entrambe le sanzioni davanti all’Audiencia Nacional. La linea difensiva attribuisce i due episodi all’operato di fornitori esterni, sostenendo quindi che non siano derivati da carenze direttamente imputabili alla società.
Il primo procedimento mette al centro procedure telefoniche di assistenza clienti considerate non sufficientemente sicure. Il servizio telefonico rappresenta un punto delicato nella gestione dei dati personali, perché mette in relazione operatori, sistemi aziendali e utenti che devono essere riconosciuti prima di poter accedere a informazioni o richiedere operazioni. Nel caso contestato a Vodafone Spagna, l’elemento indicato dall’autorità riguarda precisamente l’insicurezza delle procedure, senza ulteriori dettagli disponibili sulla dinamica o sui dati coinvolti.
La seconda violazione è invece legata a un attacco informatico del 2023 contro Super WiFi. Anche in questo caso non sono indicati il numero degli utenti interessati, la natura delle informazioni eventualmente esposte o le modalità tecniche dell’intrusione. Il procedimento colloca però la cybersecurity della piattaforma tra gli elementi esaminati dall’autorità nella definizione della sanzione complessiva.
I due episodi mostrano due superfici di rischio differenti: da una parte i processi di assistenza gestiti attraverso il canale telefonico, dall’altra una piattaforma digitale colpita da un cyberattacco. In entrambi i casi compare inoltre il ruolo dei fornitori terzi, indicati dall’operatore come responsabili degli incidenti. La controversia davanti ai giudici dovrà quindi confrontarsi anche con il perimetro delle responsabilità tra Vodafone Spagna e i soggetti esterni incaricati di specifiche attività.
Per le imprese che affidano servizi e componenti tecnologiche a partner esterni, la vicenda richiama il rapporto tra outsourcing e protezione dei dati. L’esecuzione operativa può essere delegata, ma incidenti e debolezze nei processi possono comunque tradursi in verifiche regolatorie, sanzioni e contenziosi per l’azienda che offre il servizio al cliente finale. Contratti, controlli sui fornitori e procedure di sicurezza diventano così parti dello stesso presidio organizzativo.
Vodafone Spagna ha dunque chiuso la fase del pagamento, ma non quella giudiziaria. Il ricorso contro le due sanzioni lascia aperta la valutazione sulle responsabilità effettive e sul peso delle condotte attribuite ai partner. Il caso riunisce in un’unica vicenda sicurezza del customer service, difesa delle piattaforme connesse e governo della filiera digitale: tre ambiti che, nella gestione dei dati degli utenti, non possono essere considerati separatamente.