Marriott International e la multa salata per aver infranto il GDPR

Marriott International è uno dei leader alberghieri statunitensi più conosciuti in tutto il mondo. La sede centrale europea si trova nel Regno Unito e in totale sono circa 7.300 le proprietà residenziali, alberghiere e multiproprietà che gestisce o che ha dato in franchising. 

Purtroppo però lo scorso anno la società ha ricevuto una doccia fredda, dovrà infatti pagare una sanzione di circa 18,4 milioni di sterline per aver infranto il GDPR (Regolamento Generale sulla Protezione dei Dati), anche se inizialmente la multa risultava essere di 99 milioni di sterline. 

Ma facciamo un passo indietro e capiamo meglio cos’è successo negli ultimi anni. Partiamo dal 2014, anno in cui gli hotel Starwood hanno subito un attacco informatico. Nel 2016 Marriott ha acquisito Starwood, ma soltanto nel 2018 è stato scoperto l’hackeraggio che era ancora in atto, durato quindi ben quattro anni. Nel frattempo però i dati di 339 milioni di clienti sono stati violati e informazioni quali numero di telefono, nome, indirizzo mail, giorno di arrivo e giorno di partenza e addirittura numero di passaporto erano nelle mani degli hacker. 

Visto che la vicenda è avvenuta ancor prima della Brexit, l’Autorità inglese Garante per la protezione dei dati personali (ICO) ha avuto la possibilità di intervenire per conto dell’Unione Europea e quindi di indagare e di giudicare la società colpevole.  

Secondo l’Autorità Inglese il gruppo Marriott non avrebbe fatto tutto il possibile per salvaguardare e tenere al sicuro i dati personali dei propri clienti che erano archiviati nei vari sistemi informatici.  

Il commissario per l’informazione, Elizabeth Denham, ha commentato così l’accaduto: “I dati personali sono preziosi e le aziende devono prendersene cura. I dati di milioni di persone sono stati colpiti dal fallimento di Marriott; in migliaia hanno contattato l’assistenza telefonica e altri potrebbero aver dovuto intervenire per proteggere i propri dati personali perché l’azienda di cui si fidavano non l’ha fatto”. Ha poi aggiunto: “Quando una società non si prende cura dei dati dei clienti, l’effetto non è soltanto una possibile multa, ciò che conta di più sono le persone i cui dati avevano il dovere di proteggere”. 

Dopo l’accaduto anche l’ICO ha riconosciuto le azioni prese tempestivamente da Marriott International per contattare i clienti, contrastare i danni e soprattutto per migliorare la sicurezza dei vari sistemi.