12 agosto 2026 – Un attacco informatico di tipo ransomware con esfiltrazione di dati colpisce i server centrali della Catena Alberghiera Grandi Orizzonti S.p.A., una delle maggiori holding del settore turistico nazionale, con oltre settanta strutture tra alberghi e resort di lusso. L’offensiva, lanciata da un noto gruppo cybercriminale, paralizza per 48 ore il sistema di prenotazione centralizzato e, fatto ben più grave, sottrae un archivio di circa 1,2 terabyte di dati. La notifica preliminare al Garante per la protezione dei dati personali, inviata entro le 72 ore previste dal GDPR, parla genericamente di “dati anagrafici e di contatto della clientela”. La realtà, che emergerà nelle settimane successive, si rivelerà catastrofica e direttamente collegata a una prassi operativa illegale, diffusa e sistematicamente ignorata. L’attacco informatico, infatti, non è la causa del disastro, ma il detonatore che ne ha svelato la portata.
L’analisi forense condotta dagli specialisti incaricati dalla società rivela che il database esfiltrato non contiene solo nomi, email e periodi di soggiorno. Contiene le copie digitali integrali – in formato .pdf e .jpeg – di oltre 850.000 documenti d’identità, tra carte d’identità, passaporti e patenti di guida, appartenenti a ospiti che avevano soggiornato nelle strutture del gruppo negli ultimi sette anni. Una violazione massiva del principio di limitazione della conservazione, sancito dall’art. 5, par. 1, lett. e) del GDPR. La prassi operativa, mai formalizzata in una procedura scritta ma consolidata per consuetudine in ogni reception del gruppo, prevedeva che l’addetto scansionasse il documento dell’ospite al momento del check-in e lo salvasse in una cartella di rete condivisa, nominalmente per “esigenze di archivio e verifica”. Questa operazione avveniva dopo aver già adempiuto all’unico obbligo di legge: la comunicazione dei dati degli alloggiati alle autorità di pubblica sicurezza tramite il portale “Alloggiati Web”, come previsto dall’art. 109 del TULPS e dal D.M. 7 gennaio 2013. L’omissione di un controllo procedurale su questo punto è stata fatale. Un ecosistema come Scudo231, mappando i processi aziendali e traducendoli in protocolli digitali vincolanti, avrebbe reso impossibile tale accumulo. La procedura di check-in, gestita tramite il sistema, avrebbe consentito l’acquisizione temporanea del documento solo in una memoria volatile per il tempo strettamente necessario alla compilazione dei campi per la Questura, forzando la distruzione crittografica del file sorgente subito dopo la generazione della ricevuta di trasmissione. Qualsiasi tentativo di salvare il file in una directory di rete avrebbe generato un alert di non conformità, scalato in tempo reale al responsabile della compliance e all’Organismo di Vigilanza.
La Procura della Repubblica, informata dei fatti, apre un fascicolo d’indagine e delega accertamenti al Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza. Gli investigatori acquisiscono i server della Grandi Orizzonti S.p.A. e le testimonianze dei dipendenti confermano l’assenza di qualsiasi istruzione formale sulla gestione e cancellazione delle copie dei documenti. L’unico documento conservato correttamente era la ricevuta telematica dell’avvenuta comunicazione alla Questura, come previsto dalla normativa. Tuttavia, la conservazione illecita delle copie dei documenti, giustificata dai manager di funzione come una “comodità operativa” per gestire eventuali contestazioni o richieste successive, costituisce un trattamento di dati personali privo di base giuridica. L’obbligo legale di cui all’art. 6, par. 1, lett. c) del GDPR si esauriva, infatti, con la trasmissione dei dati alle autorità. La conservazione successiva avrebbe richiesto un consenso specifico, informato e libero, che non era mai stato richiesto. Questo vuoto procedurale e la mancanza di tracciabilità delle operazioni hanno creato il presupposto per il reato. Se l’ente avesse adottato un modello di controllo attivo, la funzione di audit interno o l’OdV, supportati da un sistema di monitoraggio come quello offerto dalla REDAZIONE SCUDO231, avrebbero rilevato l’anomalia durante le verifiche periodiche. Il sistema, attraverso censimenti ciclici dell’infrastruttura, avrebbe segnalato la presenza di file con nomenclature riconducibili a documenti d’identità in directory non autorizzate, generando un report dettagliato sulla violazione del protocollo di conservazione dei dati e attivando l’iter correttivo prima che il rischio potesse materializzarsi in un danno.
Il danno, nel frattempo, diventa devastante. I dati esfiltrati vengono messi in vendita nel dark web, scatenando un’ondata di furti d’identità, frodi creditizie e truffe online a danno degli ex ospiti della catena alberghiera. Le prime azioni legali collettive vengono depositate e la notizia occupa le prime pagine dei giornali, con un crollo del valore del titolo in borsa e una perdita di fiducia da parte della clientela. Il Garante per la protezione dei dati personali, che già in passato aveva inviato una nota formale alle associazioni di categoria del settore alberghiero per ribadire il divieto di conservare le copie dei documenti, avvia un’istruttoria formale. La sanzione amministrativa si preannuncia esemplare: potenzialmente fino al 4% del fatturato globale annuo del gruppo, che si attesta intorno ai 400 milioni di euro. Una sanzione che avrebbe potuto essere drasticamente mitigata, se non azzerata sul fronte del data breach specifico dei documenti. Anche ipotizzando un’intrusione riuscita, gli attaccanti non avrebbero trovato alcun archivio di documenti d’identità da esfiltrare, poiché il protocollo ne avrebbe imposto la distruzione sistematica e tracciata. Il danno si sarebbe limitato ai dati di prenotazione, un perimetro di rischio enormemente più contenuto, che avrebbe ridotto la base di calcolo per la sanzione e annullato la minaccia ben più grave del furto d’identità di massa.
Ma le conseguenze non si fermano al piano amministrativo e civile. La Procura contesta alla società la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. Il reato presupposto individuato è l’accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.) e il trattamento illecito di dati (art. 167 del Codice Privacy), ricompresi nel catalogo dei reati 231. L’accusa sostiene che la “colpa di organizzazione” della Grandi Orizzonti S.p.A. è palese: l’assenza di un modello organizzativo efficace e idoneo a prevenire la commissione di tali reati, manifestatasi nella totale mancanza di procedure per la corretta gestione del ciclo di vita dei dati personali degli ospiti. La società si trova nell’impossibilità di fornire la prova liberatoria, ovvero di dimostrare di aver adottato ed efficacemente attuato modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi. Di fronte al Pubblico Ministero, i vertici aziendali non possono produrre alcuna evidenza di controlli, audit, log di cancellazione o procedure vincolanti. La difesa dell’ente è indebolita dalla radice. In uno scenario alternativo, un’organizzazione protetta da un ecosistema sovrano avrebbe potuto presentare in sede giudiziaria una prova tecnologica immodificabile. Avrebbe potuto esibire i log del sistema che attestavano la distruzione automatica e certificata di ogni copia di documento dopo la trasmissione, i report degli alert generati da eventuali tentativi di deviazione dalla procedura e le registrazioni delle sessioni di formazione obbligatorie e tracciate per ogni singolo operatore. Questa documentazione, generata in tempo non sospetto, avrebbe costituito una ricostruzione causale scientifica, dimostrando che l’ente aveva messo in atto tutte le misure ragionevolmente esigibili per prevenire l’illecito, isolando così l’eventuale responsabilità penale a livello individuale e proteggendo il patrimonio aziendale dal rischio di sequestro preventivo finalizzato alla confisca del profitto del reato.
Il sequestro, puntualmente, viene disposto dal GIP. Ammonta a diversi milioni di euro, calcolati come profitto derivante dal risparmio di spesa che la società avrebbe conseguito omettendo di implementare adeguate misure di sicurezza tecniche e organizzative. Il blocco dei conti correnti e l’incertezza legale gettano il gruppo in una crisi di liquidità, mettendo a rischio il pagamento degli stipendi e dei fornitori. L’intera vicenda della Grandi Orizzonti S.p.A. diventa un caso di studio nazionale, un monito per l’intero settore turistico, dagli alberghi di lusso ai piccoli B&B e affittacamere, che spesso operano con una consapevolezza ancora minore dei rischi legati al trattamento dei dati. L’errore fondamentale è stato confondere la compliance “cartacea” – l’esistenza di un documento di policy sulla privacy – con la compliance “operativa”, ovvero l’implementazione di controlli effettivi, automatizzati e non eludibili, che trasformano un principio normativo in un’azione concreta e misurabile. La lezione impartita dal disastro della Grandi Orizzonti è chiara: la mancata adozione di un protocollo di cancellazione sicura non è stata una semplice svista o una negligenza di basso livello. È stata un’omissione organizzativa strutturale, un ritardo colpevole nell’adeguare i processi a un obbligo di legge esplicito, che ha esposto l’azienda a un rischio sistemico. Un rischio che un sistema come Scudo231 non si limita a “gestire”, ma che disinnesca alla fonte, rendendo la condotta conforme non un’opzione, ma l’unica via percorribile dal processo operativo.