Una sanzione italiana sulla privacy mostra come credenziali in chiaro e una comunicazione tardiva della violazione possano trasformare un’intrusione in un fallimento di governance.