L’azienda Sanitaria, una volta accertato il data breach, ha notificato al garante l’avvenuta violazione dei dati personali, dichiarando che l’infrastruttura dell’azienda era stata oggetto di un attacco informatico da parte di un gruppo che ha rilasciato un ransomware denominato “Ragnar Locker”.
Nel corso dell’attività istruttoria è emerso che il ransomware responsabile del data breach è stato introdotto nei sistemi attraverso l’accesso a un PC aziendale con VPN aperta e che ha causato la perdita di riservatezza, integrità e disponibilità dei dati personali di un numero elevato di interessati, tra cui dipendenti, consulenti e pazienti, anche se non si era rilevato nessun blocco dei servizi sanitari.
Il Garante ha altresì accertato alcune carenze da parte dell’Azienda Sanitaria relative agli obblighi di sicurezza previsti dal GDPR, in particolar modo legate all’adozione di sistemi non aggiornati e misure inadeguate per rilevare in maniera tempestiva le violazioni di dati e garantire la sicurezza delle reti informatiche, tra cui la presenza di software obsoleti, per i quali non erano più previsti aggiornamenti di sicurezza e di alert non a copertura h24, idonei a favorire e facilitare l’avvenuto data breach. Inoltre, è stata altresì rilevata l’assenza di una procedura di autenticazione informatica a più fattori per l’accesso da remoto alla VPN, che avveniva solo tramite username e password.
Le valutazioni del Garante sono state altamente influenzate anche dalla natura dei dati coinvolti. Infatti l’Autorità ha precisato che: “ […] si rileva che i trattamenti effettuati nel contesto in esame richiedono l’adozione dei più elevati standard di sicurezza al fine di non compromettere la riservatezza, l’integrità e la disponibilità dei dati personali di un numero molto rilevante di interessati. Ciò, tenendo altresì conto delle finalità dei trattamenti e della natura dei dati personali trattati, appartenenti anche a categorie particolari e, in particolare, a dati sulla salute. A tal riguardo, gli obblighi di sicurezza previsti dal Regolamento impongono l’adozione di rigorose misure tecniche e organizzative, includendo, oltre a quelle espressamente individuate dall’art. 32, par. 1, lett. da a) a d), tutte quelle necessarie ad attenuare i rischi che i trattamenti presentano”.
Per quanto riguarda l’assenza di misure adeguate a rilevare tempestivamente le violazioni dei dati personali, tale mancanza è stata ritenuto non conforme alle disposizioni di cui all’art. 5, par. 1, lett. f), e all’art. 32, par. 1, del Regolamento che, nel caso in esame, tenuto conto di quanto previsto dalle Linee guida 9/2022 sulla notifica delle violazioni dei dati personali ai sensi del GDPR, richiede che il titolare e il responsabile del trattamento debbano mettere in atto misure per “individuare […] tempestivamente una violazione”.
Inoltre, l’attività istruttoria ha altresì evidenziato l’assenza di misure adeguate per segmentare e segregare le reti su cui erano attestate le postazioni di lavoro dei propri dipendenti, nonché i sistemi (server) utilizzati per i trattamenti: “[…] come evidenziato anche dall’Azienda nel corso delle attività ispettive “la rete era sostanzialmente flat, non vi era una segmentazione logica o fisica” e non erano differenziate a livello di rete le postazioni di lavoro e i server”. E ancora: “ La mancata realizzazione, al momento della violazione, di misure adeguate a garantire la sicurezza delle reti e l’utilizzo di software di base obsoleti, per i quali non sono più disponibili aggiornamenti di sicurezza, non risulta pienamente conforme alle disposizioni di cui all’art. 5, par. 1, lett. f), e all’art. 32, par. 1, del Regolamento che, nel caso in esame, richiede che il titolare e il responsabile del trattamento debbano mettere in atto misure per “assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento” (lett. b)).”
Questa decisione del Garante conferma nuovamente la peculiare attenzione che l’Autorità pone sulla sicurezza dei dati personali, soprattutto ove si tratti di dati particolari, quali quelli connessi alla salute.
Pertanto, appare necessario monitorare con frequenza e con estrema precisione le misure tecnico – organizzative presenti nella propria azienda, anche attraverso eventuali valutazioni di impatto che possano aiutare a prevenire data breach e fughe di dati pericolose, impiegando le raccomandazioni del Garante fornite anche in questo provvedimento.