Una configurazione sbagliata dei permessi può bastare, da sola, a trasformare un normale sistema documentale in un problema di privacy. È il messaggio molto chiaro che arriva dal caso della Città Metropolitana di Sassari: non serve un attacco esterno per avere un data breach, basta che troppe persone vedano documenti che non dovrebbero vedere.
Per un’azienda questo tema riguarda direttamente operatività, responsabilità e reputazione. Se i profili di accesso non seguono davvero le mansioni, il rischio non è solo tecnico: è organizzativo, legale e gestionale.
Che cosa è successo nel caso Sassari
Il 31 luglio 2026 Cyber Security 360 ha richiamato il contenuto del provvedimento n. 426 dell’11 giugno 2026 del Garante per la protezione dei dati personali, relativo alla Città Metropolitana di Sassari.
La vicenda nasce da una notifica di data breach presentata dallo stesso ente. Il problema segnalato era un possibile accesso non autorizzato dovuto non a un’intrusione esterna, ma a cause organizzative interne. In concreto, una contestazione disciplinare transitata attraverso il protocollo informatico è risultata visibile agli utenti del gestionale di protocollo.
Il punto decisivo, secondo quanto emerge dalla ricostruzione, è che il sistema non era configurato secondo il principio del “need-to-know”: le persone potevano vedere più informazioni di quelle necessarie per svolgere il proprio lavoro. Non si trattava quindi di un incidente sofisticato, ma di un’impostazione dei privilegi incoerente con le effettive funzioni degli utenti.
Nel caso esaminato, il DPO aveva indicato la necessità di adottare misure precise: assegnare privilegi coerenti con le mansioni, prevedere un protocollo riservato accessibile solo a figure apicali e articolare il protocollo per servizi e uffici. Questo dettaglio è importante perché mostra che il problema non era episodico: riguardava l’architettura organizzativa del sistema.
Perché il Garante considera questi casi particolarmente gravi
Quando si parla di data breach, molti pensano subito a ransomware, phishing o furto di credenziali. Il caso Sassari ricorda invece un aspetto spesso sottovalutato: la violazione della riservatezza può avvenire anche all’interno dell’organizzazione, senza alcun hacker.
Se una nota riservata viene resa accessibile a operatori che non hanno alcun titolo per leggerla, c’è comunque una comunicazione indebita di dati personali. Dal punto di vista della protezione dei dati, il fatto che i soggetti siano dipendenti o collaboratori interni non riduce automaticamente la gravità dell’evento.
Secondo quanto riportato dalla fonte, il Garante ha contestato possibili violazioni legate ai principi di integrità e riservatezza, responsabilizzazione e privacy by design. Il cuore del problema è semplice da capire anche senza tecnicismi: il sistema doveva essere progettato e configurato in modo da limitare in partenza la visibilità delle informazioni.
In altre parole, la privacy non si tutela solo con informative, policy o formazione. Si tutela anche — e soprattutto — con impostazioni corrette nei software usati ogni giorno.
Il vero nodo: accessi troppo ampi e processi troppo generici
Dal caso emergono due criticità molto concrete.
La prima è l’ampiezza eccessiva dei diritti di accesso. Se gli utenti del protocollo possono visualizzare documenti non pertinenti rispetto ai loro incarichi, il sistema non rispetta il principio di minima autorizzazione. Questo è uno dei controlli più importanti in qualsiasi organizzazione, pubblica o privata.
La seconda è l’assenza di una gestione specifica dei documenti riservati. Non tutti i documenti hanno lo stesso livello di sensibilità: una comunicazione amministrativa ordinaria non va trattata come una contestazione disciplinare, un documento sanitario o un fascicolo contenente dati particolari. Se il software non distingue i casi oppure se l’azienda non usa correttamente le funzioni disponibili, la riservatezza diventa solo teorica.
Molte PMI italiane si trovano in una situazione simile senza accorgersene. Succede quando:
- tutti gli utenti di un gestionale condividono profili standard troppo permissivi;
- nessuno rivede i permessi dopo cambi di ruolo, trasferimenti o uscite del personale;
- cartelle, protocollo, CRM o document management vengono organizzati “per comodità” e non per effettiva necessità di accesso;
- i documenti riservati finiscono negli stessi flussi dei documenti ordinari;
- il fornitore software abilita funzioni ampie all’inizio del progetto e poi nessuno le restringe.
Queste situazioni sono comuni perché nascono da esigenze operative apparentemente legittime: lavorare più in fretta, evitare blocchi, semplificare il supporto. Ma una semplificazione iniziale può generare un’esposizione continua e silenziosa.
Non è solo un tema GDPR: è anche controllo interno
Il caso Sassari non va letto solo come una questione di adempimenti privacy. Una gestione debole degli accessi incide su almeno quattro aree aziendali.
La prima è la riservatezza delle informazioni interne. Documenti HR, disciplinari, contratti, dati commerciali, comunicazioni legali e informazioni su clienti o dipendenti non devono circolare più del necessario.
La seconda è la responsabilità manageriale. Se non è chiaro chi può vedere cosa, diventa difficile dimostrare che l’azienda ha adottato misure adeguate.
La terza è la continuità operativa. Un ambiente con privilegi troppo ampi è più difficile da governare, da verificare e da correggere in caso di errore.
La quarta è la sicurezza complessiva. Un account interno con accesso esteso, se compromesso o usato impropriamente, moltiplica l’impatto di qualsiasi incidente.
Per questo la gestione degli accessi è un tassello centrale della sicurezza informatica e non un semplice dettaglio amministrativo.
Cosa significa per la tua azienda
Per una PMI il messaggio pratico è chiaro: i permessi vanno progettati, documentati e rivisti periodicamente. Non basta che il sistema “funzioni”. Deve far vedere a ciascuno solo ciò che serve davvero.
Ecco le azioni più utili da mettere in agenda.
1. Mappa i sistemi dove circolano dati sensibili
Non limitarti al server file. Verifica anche gestionale, protocollo, CRM, HR, posta condivisa, piattaforme cloud e strumenti di collaborazione.
2. Controlla i profili utente reali, non quelli teorici
Spesso le policy dicono una cosa, ma i permessi effettivi ne mostrano un’altra. Serve un controllo concreto su gruppi, ruoli, eccezioni e utenti storici mai ripuliti.
3. Applica il principio del minimo privilegio
Ogni utente deve poter accedere solo alle informazioni necessarie per le proprie mansioni. Dove possibile, usa ruoli differenziati per ufficio, funzione e livello di responsabilità.
4. Prevedi un canale o una classificazione per i documenti riservati
HR, contenzioso, provvedimenti disciplinari, dati sanitari, documenti con categorie particolari di dati non dovrebbero transitare negli stessi flussi dei documenti ordinari senza controlli aggiuntivi.
5. Rivedi i permessi a ogni cambio organizzativo
Ingresso, uscita, promozione, cambio mansione, sostituzione temporanea: ogni evento del personale dovrebbe attivare automaticamente una revisione degli accessi.
6. Mantieni tracciabilità e verifiche periodiche
Sapere chi ha aperto cosa, quando e con quale ruolo aiuta sia nella prevenzione sia nella gestione di eventuali contestazioni.
7. Collega privacy, IT e organizzazione
Il problema degli accessi non è solo dell’ufficio IT. Deve coinvolgere direzione, responsabili di funzione, HR e chi si occupa di compliance. Se manca questo coordinamento, il rischio è che il sistema tecnico non rifletta l’organizzazione reale.
Per molte aziende è utile affiancare a queste attività una revisione della governance privacy e delle misure tecniche, soprattutto quando si trattano dati di dipendenti, clienti o fornitori in più applicativi. In questi casi può avere senso un supporto sia sul fronte GDPR sia sulla gestione quotidiana delle postazioni e dei profili con servizi di desktop IT management.
La lezione più importante: il data breach può nascere dalla normalità
Il tratto più istruttivo del caso Sassari è proprio questo: il rischio non arriva sempre da un evento eccezionale. Può nascere da una routine consolidata, da un profilo utente lasciato troppo aperto, da un workflow progettato senza distinguere tra ordinario e riservato.
È anche per questo che i permessi andrebbero rivisti prima che accada un incidente, non dopo. Quando il problema emerge, spesso è già avvenuta una diffusione indebita di informazioni, magari difficile da quantificare a posteriori.
Per imprenditori e responsabili d’ufficio il criterio guida dovrebbe essere semplice: se domani dovessi spiegare al Garante, a un cliente o a un dipendente perché quella persona poteva leggere quel documento, avresti una risposta chiara, documentata e coerente con il ruolo? Se la risposta è no, vale la pena intervenire subito.
Domande frequenti
Un accesso errato interno è davvero un data breach?
Sì. Se dati personali vengono resi accessibili a soggetti non autorizzati, può configurarsi una violazione di riservatezza anche senza attacco esterno.
Basta avere una policy interna per essere in regola?
No. Le regole scritte sono utili, ma devono essere tradotte in permessi reali, configurazioni corrette e controlli periodici.
Questo rischio riguarda solo enti pubblici?
No. Il principio vale allo stesso modo per aziende private, studi professionali e organizzazioni di qualsiasi dimensione che gestiscono documenti e dati personali.