Londra, 15 luglio 2025
Il gruppo LVMH ha confermato, in data 2 luglio, una violazione dei sistemi informatici della propria controllata Louis Vuitton UK, con conseguente accesso non autorizzato a dati personali di clienti: generalità, recapiti, cronologia di acquisti e dati anagrafici. La società ha specificato che non risultano compromesse informazioni finanziarie, quali numeri di carte di credito o conti bancari.
L’evento segue due precedenti episodi verificatisi nei mesi di maggio e giugno, rispettivamente presso Christian Dior Couture e presso la sede coreana di Louis Vuitton. In Turchia, inoltre, un breach notificato alle autorità il 7 giugno ha coinvolto oltre 140.000 interessati. In tutti i casi, l’attacco sarebbe avvenuto tramite credenziali di fornitori esterni.
Notifica all’autorità e obblighi derivanti dal Data Protection Act 2018
La società ha provveduto a notificare l’incidente all’Information Commissioner’s Office (ICO), in conformità al Data Protection Act 2018 e al Regolamento generale sulla protezione dei dati (GDPR), recepito nella normativa britannica post-Brexit. In base all’art. 33 GDPR, il titolare del trattamento è tenuto a comunicare la violazione entro 72 ore dalla conoscenza, salvo dimostrazione dell’improbabilità che tale evento comporti un rischio per i diritti e le libertà degli interessati.
Secondo fonti interne, LVMH ha altresì attivato comunicazioni individuali ai soggetti coinvolti, come previsto dall’art. 34 GDPR nei casi di alto rischio per i diritti delle persone fisiche.
Profili di responsabilità e giurisprudenza di riferimento
La violazione apre scenari di possibile responsabilità sia in sede amministrativa sia in ambito civilistico. La giurisprudenza britannica, si veda Various Claimants v Morrisons (2017) – ha già affermato la responsabilità indiretta del datore di lavoro anche per atti dolosi commessi da dipendenti, qualora sia accertabile una connessione con l’esercizio delle mansioni. Sebbene in questo caso si tratti di un attacco esterno, il controllo sui fornitori terzi e sulle infrastrutture CRM rimane elemento dirimente per valutare eventuali omissioni organizzative o difetti nei presìdi tecnici.
Nel contesto europeo, va richiamata anche la sentenza Google France SARL v Louis Vuitton Malletier (C 236/08), nella quale la Corte di Giustizia dell’UE ha posto l’accento sul “ruolo attivo” del soggetto che determina finalità e mezzi del trattamento: principio potenzialmente estensibile anche alle politiche di sicurezza aziendale e alla gestione di infrastrutture dati.
Risarcibilità del danno in assenza di perdita economica
Il danno risarcibile in seguito a data breach non richiede necessariamente un pregiudizio patrimoniale: il solo timore di utilizzo improprio dei dati o l’ansia derivante dalla violazione può costituire fonte di danno morale. In tal senso si sono espressi i giudici inglesi nei casi Lloyd v Google (2021) e TLT v Secretary of State (2016), orientamenti che trovano eco anche nella giurisprudenza europea post-GDPR.
Gli utenti coinvolti nell’attacco potrebbero dunque esperire azioni individuali o collettive (class action), a fronte del rischio concreto di phishing o frodi basate su dati comportamentali e abitudini di consumo.
Terze parti e responsabilità contrattuale
In Turchia, la falla è stata ricondotta all’utilizzo improprio di un account da parte di un fornitore esterno. Questo elemento evidenzia l’importanza, già normata dall’art. 28 GDPR, di includere nei contratti di servizio clausole puntuali relative alla sicurezza, agli audit periodici, alla tracciabilità degli accessi e alla tenuta dei log.
La responsabilità del titolare del trattamento resta comunque primaria, anche nei casi di errore o negligenza del sub-fornitore, salvo prova di aver adottato tutte le misure tecniche e organizzative adeguate.
Prospettive regolatorie e risposte operative
In un contesto di crescente attenzione normativa verso la protezione dei dati personali, le autorità britanniche hanno intensificato le attività investigative in risposta agli attacchi informatici che, oltre a colpire Louis Vuitton, hanno interessato altri operatori del settore retail come Marks & Spencer, Co-op e Harrods. La National Crime Agency ha comunicato l’arresto di quattro soggetti, di età compresa tra i 17 e i 20 anni, individuati in diverse regioni del Regno Unito tra cui Londra, le West Midlands e lo Staffordshire a testimonianza della natura diffusa e coordinata dell’operazione criminale.
Parallelamente, Louis Vuitton ha avviato un piano di intervento strutturato, incaricando società specializzate in sicurezza informatica di eseguire penetration test e valutazioni approfondite dell’infrastruttura digitale. Le misure adottate si inseriscono in una strategia di mitigazione del rischio che include il rafforzamento dei sistemi di monitoraggio, l’adozione di protocolli di autenticazione a più fattori e l’avvio di una progressiva transizione verso modelli di sicurezza basati sull’architettura zero-trust. In conformità agli obblighi sanciti dal Regolamento generale sulla protezione dei dati (GDPR), la società ha notificato tempestivamente l’accaduto all’Information Commissioner’s Office (ICO) e ha provveduto ad informare gli interessati, evidenziando il pericolo di possibili campagne di phishing fondate sull’utilizzo illecito dei dati sottratti.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
