Lidl ha comunicato ai propri clienti di essere stata vittima di un incidente di sicurezza informatica che ha compromesso i dati personali degli acquirenti del suo e-commerce in più Paesi, tra cui la Slovacchia. La violazione non è avvenuta nei sistemi diretti della catena tedesca, ma in quelli di un fornitore esterno di servizi IT. I dati sottratti includono nomi, numeri di telefono, indirizzi e-mail e date di nascita. Le credenziali bancarie non sono state coinvolte. Lidl precisa di non avere al momento segnalazioni di utilizzo fraudolento dei dati trafugati e ha informato le autorità di protezione dei dati competenti nei Paesi interessati. In Olanda, dove il caso è stato riportato in modo dettagliato, la società ha notificato l'Autorità garante olandese. L'episodio riapre il tema della responsabilità nella catena del fornitore. Il GDPR prevede che il titolare del trattamento (in questo caso Lidl) risponda dei dati anche quando la gestione tecnica è affidata a terzi. L'incidente avvenuto presso un provider IT, non nella struttura diretta di Lidl, non riduce il rischio regolatorio per la società: la normativa europea impone obblighi di due diligence nella selezione e nel monitoraggio dei fornitori. Per gli utenti slovacchi eventualmente coinvolti, il rischio più immediato è quello di tentativi di phishing costruiti sui dati esposti. Chi ha ricevuto una comunicazione da Lidl deve prestare attenzione a messaggi che sembrano provenire dalla catena o da istituti finanziari e che chiedono conferme di dati personali.
