In sintesi
- Azienda
- NSW Reconstruction AuthorityEnte pubblico statale per la ricostruzione dopo i disastri
- Dimensione
- Medio-grandi imprese (250–999 dipendenti)
- Dove e quando
- Australia (Nuovo Galles del Sud). Marzo 2025 – marzo 2026.
- Chi ha prodotto le cifre
- Atto ufficialeTutto ciò che si legge in questa pagina viene dall’avviso pubblico dell’ente sulla violazione dei dati, aggiornato l’ultima volta il 26 marzo 2026.
Che cosa è successo
L’ente gestisce un programma che aiuta le persone le cui case sono state colpite dalle alluvioni. Tra il 12 e il 15 marzo 2025, un dipendente temporaneo ha caricato su ChatGPT un foglio di calcolo con i richiedenti. L’ente non aveva approvato lo strumento. Il dipendente non lavora più lì.
L’ente dice che i suoi sistemi non sono stati violati da attacchi informatici e sono rimasti sicuri. I dati sono usciti perché una persona li ha inseriti in uno strumento esterno.
I numeri
- 2.031 persone hanno avuto una parte dei loro dati personali caricata.
- Un file Excel, con 10 colonne e più di 12.000 righe.
- Che cosa conteneva: nomi e recapiti, indirizzi, date di nascita e dati sanitari sensibili. Conteneva anche alcuni commenti sulla situazione economica. Non conteneva coordinate bancarie né numeri di documenti d’identità.
- Nessun segno di pubblicazione. L’ente dice che non ci sono prove che i dati siano disponibili online. Il servizio di sicurezza informatica dello Stato continua a controllare.
Che cosa ha cambiato l’ente
- Ha commissionato una revisione indipendente, che ha trovato aspetti da migliorare nelle regole, nella formazione e nella sicurezza dei dati.
- Ha scritto un regolamento sulle violazioni dei dati e ha aggiornato il suo piano per la privacy con indicazioni sull’IA.
- Ha rafforzato la formazione obbligatoria del personale sulla gestione dei dati.
- Ha limitato i download manuali di dati dai suoi sistemi principali.
- Ha introdotto controlli che bloccano il caricamento di dati personali negli strumenti di IA.
- Sta creando una funzione dedicata alla privacy.
Che cosa mostra il caso
- È bastato un caricamento. Un solo file, spostato da una sola persona, ha toccato le schede di più di 2.000 persone.
- Anche il personale temporaneo deve conoscere le regole. La persona che ha caricato il file era un lavoratore temporaneo.
- La soluzione è stata un insieme di misure. L’ente non si è affidato solo a una regola scritta. Ha aggiunto formazione, ha limitato ciò che si può scaricare e ha bloccato i caricamenti.
Cosa dice sulle pratiche
Cosa ha cambiato l’azienda in seguito
- Decida quali dati possono finire in quali strumenti di IA Dopo la violazione l’ente ha introdotto controlli che bloccano il caricamento di dati personali negli strumenti di IA, e ha limitato i download manuali dai suoi sistemi principali. Prima di tutto · Impegno: basso (giorni, una persona)
- Scriva un regolamento di una pagina sull’uso dell’IA che il personale legga davvero L’ente ha aggiornato il suo piano per la privacy con indicazioni sull’IA, e ha adottato un proprio regolamento sulle violazioni dei dati. Prima di tutto · Impegno: basso (giorni, una persona)
- Formi il personale sugli strumenti che ha davvero scelto Una revisione ha trovato lacune nelle regole, nella formazione e nella sicurezza dei dati. L’ente ha poi rafforzato la formazione obbligatoria del personale sulla gestione dei dati. Prima di tutto · Impegno: medio (settimane, poche persone)
Fonti
- NSW Reconstruction Authority. Resilient Homes Program data breach. Public notice and questions and answers (updated 26 March 2026). nsw.gov.au