Provvedimento del 14 novembre 2024 [10104860]
Stampa
Condivisione[doc. web n. 10104860]
Provvedimento del 14 novembre 2024
Registro dei provvedimenti
n. 760 del 14 novembre 2024
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);
VISTO il d.lgs. 30 giugno 2003, n. 196 recante il “Codice in materia di protezione dei dati personali”, contenente disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito il “Codice”);
VISTO il d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE”;
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore l’avv. Guido Scorza;
PREMESSO
1. La violazione dei dati personali
Il XX l’Azienda Socio Sanitaria Territoriale Fatebenefratelli-Sacco, di seguito “Azienda”, ha trasmesso all’Autorità, ai sensi dell’art. 33 del Regolamento, una notifica di violazione dei dati personali, integrata il XX, riguardante un attacco informatico ai sistemi informativi della stessa. In particolare, è stato comunicato che il predetto attacco, condotto dal gruppo denominato Vice Society, è stato determinato da un malware di tipo ransomware che ha causato il “malfunzionamento degli applicativi informatici” e l’“esfiltrazione di dati che ha coinvolto un’area di un file server a disposizione degli utenti aziendali che accedono per mezzo di cartelle condivise”.
In considerazione dell’elevato numero di interessati potenzialmente coinvolti e della natura dei dati personali oggetto di violazione, è stato necessario chiedere informazioni all’Azienda (note del XX, XX e XX) che ha fornito riscontro, rispettivamente, con note del XX e XX e XX. Ciò, al fine di acquisire, in particolare, elementi di dettaglio sulle circostanze in cui si è verificato l’incidente e delinearne la portata in termini di volume di dati esfiltrati, di postazioni di lavoro e/o server compromessi, nonché al fine di conoscere la durata del disservizio all’utenza e i tempi di ripristino dei diversi servizi, le modalità con le quali sono state messe a disposizioni le informazioni agli interessati nonché lo stato di avanzamento degli interventi di adozione delle misure tecniche e organizzative per prevenire simili violazioni future.
2. Il fatto
Preliminarmente, con la notifica del XX, è stato dichiarato che l’attacco riguardava i “sistemi informatici aziendali posti alla base dell’infrastruttura informatica relativi, in particolare, alle infrastrutture dei PPOO Fatebenefratelli, Sacco, Buzzi e Macedonio Melloni che impatta anche sul funzionamento di tutti i sistemi di tutte le altre n. 33 sedi territoriali. Sono state “attaccate” macchine del tipo XX compromettendo anche le infrastrutture di virtualizzazione”. Successivamente, il XX, l’Azienda ha aggiornato le informazioni riguardanti la violazione, dichiarando che l’attacco era stato “eseguito dal gruppo denominato Vice Society […] le analisi delle Autorità hanno mostrato tracce relative ad una potenziale esfiltrazione di dati che ha coinvolto un’area di un file server a disposizione degli utenti aziendali che accedono per mezzo di cartelle condivise. Tale ipotesi è stata confermata in data XX, quando la Polizia Postale ha individuato un’area del dark web che conteneva il suesposto patrimonio informativo” (v. notifiche del XX e XX, sez.XX, punto XX).
Con nota del XX l’Azienda ha, altresì, dichiarato che “nelle prime ore dell’XX (intorno alle ore 03:00 – 04:00) pervenivano al tecnico reperibile dei sistemi informativi le chiamate da parte degli utenti che segnalavano un malfunzionamento dei sistemi informativi. Dopo aver svolto la prima analisi ed aver compreso il livello di gravità, gli specialisti chiamati in reperibilità hanno provveduto ad isolare l’intera infrastruttura informatica dalla rete pubblica, al fine di interrompere eventuali azioni malevoli ancora in corso. Nelle ore successive i sistemisti si sono recati fisicamente presso le strutture informatiche aziendali al fine di comprendere il livello di compromissione e definire le azioni da intraprendere per garantire una tempestiva ripresa dei servizi. Dopo la segnalazione dell’incidente sono giunti sul posto: gli specialisti CSOC (Cyber Security Operations Center) di ARIA SpA (Azienda Regionale Innovazione e Acquisti), gli agenti della Polizia Postale e delle Comunicazioni e gli specialisti dell’ACN (Agenzia Cybersicurezza Nazionale) che hanno avviato le analisi mirate alla raccolta degli indicatori di compromissione con lo scopo di ripercorrere al contrario la catena dell’attacco e rilevare quante più evidenze possibili (…). Dai log” del (…) “sistema è stato possibile avviare la ricostruzione della catena degli eventi che, nonostante gli sforzi di analisi condotti, pur ricostruendo la catena fino al giorno XX, non ha consentito di giungere fino all’individuazione del vettore di attacco. Dalle analisi è stata rilevata una attività di esfiltrazione di dati che, iniziata prima della data dell’attacco, colpiva un server adibito a ruolo di file sharing, trasferendo i dati verso la piattaforma di file transfer denominata MegaUpload. Tuttavia, la pubblicazione dei dati esfiltrati è avvenuta solo 50 giorni successivi all’attacco dell’XX, quando la Polizia Postale ha rilevato la pubblicazione, in forma destrutturata (le cartelle e le alberature risultavano modificate rispetto ai percorsi sul file sharing aziendale), di patrimonio informativo sul data leak site del gruppo Vice Society” (v. pagg. XX e XX).
Per quanto concerne la portata della violazione con riferimento agli applicativi aziendali di ordine sanitario e amministrativo contabile, in termini di volume di dati esfiltrati e di postazioni di lavoro e/o server compromessi, l’Azienda, con la citata nota del XX, ha dichiarato che:
- “risultavano colpite le macchine, XX, di famiglia XX. L’attacco ha coinvolto inoltre l’infrastruttura di XX, cifrando i file di configurazione XX. Non sono state invece intaccate le macchine XX, né l’infrastruttura XX contenenti il patrimonio informativo clinico, sanitario ed amministrativo non sono state compromesse. Avendo colpito i servizi di base, si è assistito al conseguente fermo di tutti i sistemi informativi aziendali, ad esclusione degli impianti telefonici che, operando con tecnologie tradizionali, salvo alcuni limitati disagi, hanno operato con regolarità. L’impatto è stato pertanto rilevante poiché ha coinvolto i 4 presidi ospedalieri della ASST (Sacco, Fatebenefratelli, Buzzi, Melloni) e tutte le articolazioni territoriali gestite (queste ultime non operanti in regime h24)”;
- la portata dimensionale dell’attacco ha riguardato “circa 500 macchine XX compromesse insistenti su circa XX compromessi; circa 300 postazioni di lavoro fisiche compromesse; circa 800 desktop XX compromessi, avendo interrotto l’operatività della piattaforma di virtualizzazione dei client”;
- sono stati “circa 28 GB [i] dati pubblicati sul darkweb, contenenti quasi 40.000 file esfiltrati da un sistema file sharing” (v. XX).
Con riferimento alla durata del disservizio all’utenza e ai tempi di ripristino dei diversi servizi, l’Azienda ha dichiarato di aver ripristinato: il XX, giornata della rilevazione dell’attacco, l’Infrastruttura tecnologica (XX, XX, XX, ecc.); il XX i sistemi di base e di integrazione (XX, XX, XX, ecc.); il XX i sistemi area clinico-sanitaria (Pronto Soccorso, Gestione Ricoveri, Refertazione Ambulatoriale, CUP, Call Center Regionale, ecc.); il XX e XX i sistemi diagnostici (Radiologia, Laboratori, ecc.); il XX i sistemi amministrativi; il giorno XX il Protocollo – determine – delibere, precisando che la ricostruzione aveva richiesto “la prima settimana per la riattivazione di circa l’80% dei servizi; la seconda settimana per la riattivazione dei servizi minori, per giungere alla copertura di circa il 90% dei servizi; fino alla quarta settimana per la parte residuale relativa a servizi esposti su rete pubblica e file sharing” e che “sulla scorta dei procedure di ripristino dell’operatività predisposte dall’Azienda, il patrimonio informativo è stato ripristinato nella situazione quo ante” (v. nota del XX).
Per quanto attiene al numero di interessati, anche approssimativo, i cui dati sulla salute sono stati coinvolti dall’attacco e al numero, anche approssimativo, di registrazioni di dati oggetto di esfiltrazione appartenenti a categorie particolari, l’Azienda, in riscontro alla richiesta di informazioni del XX, ha dichiarato che “si tratta di dati rappresentati in formati eterogenei (pdf, doc, xls, jpg, ecc) e pertanto destrutturati e senza possibilità di analisi automatizzabile” (v. nota del XX).
Inoltre, con nota del XX, si è inteso precisare che “a seguito della notifica da parte della Polizia Postale della pubblicazione su dark web di dati esfiltrati, gli specialisti informatici hanno approntato le seguenti misure per accertarsi della quantità e tipologia di informazioni sensibili pubblicate. Attraverso macchine air gapped, totalmente isolate dalla rete aziendale, si è proceduto a stabilire una connessione anonimizzata al Data Leak Site (di seguito DLS) del gruppo criminale che ha perpetrato la pubblicazione dei dati. È stata fatta una prima analisi sommaria per verificare la natura del materiale attraverso sfogliamento manuale delle cartelle e dei files pubblicati. Tale procedura ha richiesto molto tempo in quanto la disponibilità del sito non era costante (frequenti blocchi e totale indisponibilità) e le performance di navigazione del sito risultavano estremamente degradate (svariate decine di secondi per passare da una cartella ad un’altra). Una volta accertata la rilevante mole di materiale, sono stati sviluppati specifici tool che, utilizzando tecniche di web crawling in maniera automatica, hanno proceduto ad esplorare e registrare in apposito file di log l’intero DLS. L’elenco dei file è stato quindi analizzato, dapprima con strumenti automatizzati ed in seguito verificato da operatori dei Sistemi Informativi, riscontrando che nella pubblicazione non è stata mantenuta l’alberatura originale, rendendo così estremamente complessa la classificazione delle informazioni esfiltrate. Tale procedura non ha permesso di rimappare in modo puntuale i file pubblicati con il contenuto del file server, poiché i nomi dei file e dei relativi path, hanno subito modifiche legate a molteplici conversioni di piattaforma (file server, upload site, DLS, web crawler), rendendo di fatto impossibile risalire al documento originale in maniera certa. Inoltre, la numerosità degli oggetti rinvenuti e – soprattutto – la loro eterogeneità non ha consentito una valutazione diretta e agevole della tipologia di informazioni ivi contenute, giacché l’analisi approfondita dei documenti avrebbe necessitato un intervento manuale di operatori che avrebbero dovuto aprire ogni singolo file ed accertarne il contenuto al fine di identificarne il soggetto coinvolto. Tale operazione avrebbe richiesto uno sforzo smisurato in termini di risorse umane impegnate, che non erano (e non sono) disponibili, oltre che un’esposizione a notevoli rischi in termini di sicurezza considerata la natura del DLS. In ogni caso l’analisi semi-automatizzata, basata esclusivamente sulla nomenclatura degli oggetti e sulla parziale alberatura dei file, ha permesso di stimare (in modo assai approssimativo) quanto segue:
• dati personali cittadini (alcune migliaia) e dipendenti (alcune centinaia): dati anagrafici, domicilio, residenza, numeri telefonici di cittadini e dipendenti aziendali (ad es. cedolini stipendiali, lettere di presentazione, CV);
• dati sensibili cittadini (alcune migliaia) e dipendenti (alcune decine): dati clinici (es. referti, lettere dimissione, studi clinici, sperimentazioni);
• dati giudiziari cittadini (alcune centinaia): provvedimenti giudiziari (es. protocolli tribunale)” (v. pagg. XX).
L’Azienda ha, altresì, rappresentato che “per avere una stima numerica più precisa, basata sui tempi riscontrati nella prima analisi e tenute in considerazione le misure di sicurezza straordinarie che andrebbero implementate, si valuta che occorrerebbero circa 350 gg/uomo di una risorsa dedicata alla classificazione del materiale; (…) anche le indagini avviate a seguito della presentazione della denuncia/querela da parte di questa ASST non hanno consentito di stabilire la natura dei dati sottratti; (…) la Polizia Giudiziaria, dalla nomenclatura dei files, aveva ritenuto di poter escludere la presenza di dati sanitari di pazienti (…e) ha successivamente evidenziato la pubblicazione di files sensibili sul darkweb, ma (…) la provenienza dei dati non è stata accertata” e che dalla richiesta di archiviazione della P.G., risulta che “gli approfonditi accertamenti sui sistemi informatici non hanno permesso di risalire alla provenienza dell’attacco informatico e che gli utenti della rete informatica coinvolta nell’attacco erano stati oggetto da tempo di campagne di phishing volte a carpire indebitamente le credenziali di accesso. Peraltro l’autore degli attacchi ha fatto ricorso a tecniche “anti-forensics”, cancellando parti dei registri di sistema, nascondendo quindi le operazioni svolte sui sistemi informatici attaccati”. Nella medesima occasione, è stato altresì rappresentato che “non è stata avanzata alcuna richiesta risarcitoria nei confronti di questa ASST da parte di utenti/pazienti a cui potrebbero riferirsi i dati oggetto di violazione” (v. nota del XX, pagg. XX).
3. Le misure in essere al momento della violazione
Con riferimento alle misure tecniche e organizzative in essere al momento della violazione l’Azienda ha dichiarato che “l’infrastruttura era dotata di sistemi di protezione perimetrale, di sistemi di autenticazione centralizzata con regole di scadenza delle password XX, con complessità delle password, non ripetibilità delle password, presenza di sistema antivirus su tutti i server e tutte le postazioni di lavoro, presenza di XX, sistema XX su un limitato numero di server, sistema di personal firewall su un limitato numero di postazioni di lavoro, VPN con accesso controllato da utenza e password. Inoltre tutti i sistemi erano sottoposti regolarmente a backup secondo periodicità predefinita”. Inoltre, era stata data “informazione al personale anche per mezzo di Circolare del Direttore Generale relativa alle regole di comportamento da porre in essere per l’utilizzo degli strumenti informatici aziendali. Si conferma inoltre che, prima del periodo pandemico da Covid, venivano regolarmente organizzati, in aula, eventi formativi di informatica di base durante i quali di illustravano anche comportamenti da adottare per evitare possibili violazioni informatiche (mail phishing, ecc.)” (v. notifiche del XX e XX, sez. XX punto XX e nota del XX, pag. XX).
Circa le procedure di autenticazione informatica utilizzate nell’ambito dell’accesso in VPN e alle postazioni di lavoro e le password policy previste per le diverse tipologie di utenze, l’Azienda, con nota del XX, ha dichiarato che:
- “al momento dell’attacco l’autenticazione a doppio fattore, ancorché non implementata, era in corso di attivazione (l’ordine di richiesta attivazione è stato emesso nel XX e la misura è stata attivata immediatamente alla ripresa dei servizi dopo l’attacco informatico). Tra le misure tecniche al momento dell’attacco vi era:
• presenza di credenziali utente XX, caratterizzata da criteri di complessità, lunghezza minima, non ripetibilità;
• autenticazione individuale dei tecnici delegati dalle software house autorizzate;
• limitazione, per gruppi utente, dell'accesso alla navigazione XX;
• presenza di black list siti navigazione;
• sostituzione ed armonizzazione dei firewall aziendali, con periodica attività di patching ed equipaggiati con antivirus per controllo perimetrale;
• presenza sistemi antivirus per protezione client e server;
• presenza sistema antispam a bordo del sistema di gestione della posta elettronica;
• attivazione (su un limitato numero di server) di strumenti XX;
• corsi di formazione in aula in cui si illustravano, tra l'altro, comportamenti da adottare in caso di mail phishing;
• disponibilità di una copertura WIFI aziendale, XX, consente accesso ad internet per una sessione a tempo limitato;
• progressiva sostituzione dei PC con dispositivi thin client” (v. pagg. XX).
Riguardo le misure tecniche e organizzative adottate al momento della violazione sul sistema di file sharing oggetto di violazione e di esfiltrazione dei dati, l’Azienda ha evidenziato che “al momento della violazione, sui sistemi file sharing, era vigente in Azienda la seguente policy: l'accesso alle cartelle era consentito, in modalità lettura/modifica, agli utenti autorizzati dal responsabile di struttura attraverso l’utilizzo di gruppi di sicurezza gestiti a livello di dominio; tutti i sistemi erano sottoposti a regolare e costante backup, XX; tale misura tecnica ha consentito il totale ripristino dei sistemi, senza alcuna perdita di patrimonio informativo; sui sistemi era presente controllo screening sulle tipologie di file salvati, per impedire che gli utenti potessero salvare file con estensioni non consentite (es: XX); sui sistemi erano attivi sistemi antivirus e antimalware costantemente aggiornati” (nota del XX, pag. XX).
4. Le misure adottate a seguito della violazione
Con riferimento alle misure adottate a seguito della violazione, l’Azienda ha rappresentato che “appena rilevato l’attacco, si è provveduto allo spegnimento di tutti i sistemi informatici e sono state isolate le infrastrutture di connettività. Inoltre si è proceduto alla verifica sulla disponibilità e integrità dei dati del sottosistema di backup oltre che al ripristino degli ambienti di virtualizzazione. Si sta inoltre procedendo al restore dei dati e dei servizi. Inoltre sono in corso le verifiche sui log degli apparati e dei sistemi con particolare riferimento ai sistemi di sicurezza dell’organizzazione per una successiva fase di analisi e correlazione rispetto ad eventuali I.O.C. noti. Dal punto di vista organizzativo, sono state deviate immediatamente tutte le ambulanze ai P.S. di altre Aziende Sanitarie. Sono state date indicazioni per garantire l’operatività dei presidi ospedalieri e delle sedi territoriali mediante procedure manuali/locali” e che “si è attivata la procedura per il ripristino dei sistemi al fine di riattivare i servizi per gli utenti e per gli operatori aziendali. Sono tuttora in corso, a cura della Polizia Postale, le verifiche sui log degli apparati e degli impianti con particolare riferimento ai sistemi di sicurezza dell’organizzazione per una successiva fase di analisi e correlazione rispetto ad eventuali indicatori di compromissione noti (…) al progressivo ripristino dei sistemi la situazione è tornata via via alla normalità” (v. notifiche del XX e XX, sez. X, punto XX).
Con nota del XX, in riscontro alla richiesta di informazioni del XX, l’Azienda ha rappresentato, oltre a quanto già dichiarato, che:
“le operazioni legate al ripristino dei servizi hanno seguito una classificazione che desse massima priorità all’area clinico-sanitaria e, progressivamente, ai servizi amministrativi e tecnici”;
in seguito alla riattivazione dei servizi dell’area clinico sanitaria “si è progressivamente provveduto al ripristino dei vari sistemi “minori” che, in alcuni casi, hanno richiesto anche la totale ricostruzione dell’application server”;
“sistemi esposti su rete internet, compreso il servizio di posta elettronica, sono stati attivati solo dopo aver escluso la presenza di elementi malevoli sulla rete aziendale; tali servizi sono stati ripristinati il giorno XX, anche se le comunicazioni interne di posta elettronica sono state avviate a partire dalla settimana precedente”;
il ripristino del “file sharing, prima di essere restituito agli utenti, è stato volutamente sottoposto ad un articolato iter di controllo antivirus che ha coinvolto ogni singolo file, con lo scopo di verificare l’assenza di elementi malware nascosti o silenti all’interno delle cartelle condivise; considerati i lunghi tempi necessari per tale ambito, il ripristino delle cartelle condivise ha previsto una priorità in base agli utenti (…)”;
“pur in assenza di supporto informatico, è stato garantito il funzionamento dei servizi essenziali (pronto soccorso, ricoveri urgenti) con procedure emergenziali, in un contesto in cui la ASST aveva chiesto il distacco dal circuito dell’emergenza-urgenza per evitare flussi inviati dalla centrale operativa”;
“tra le misure tecniche già adottate prima dell’attacco e quelle attivate in sede di riavvio post attacco, si evidenzia: accesso in VPN con terminazione sui sistemi firewall aziendali, basata su autenticazione a due fattori; periodico aggiornamento del firmware dei firewall, soprattutto in occasione di patch rilevanti sotto il profilo della sicurezza; analizzatore dei log sui sistemi firewall; accesso alla infrastruttura XX di virtualizzazione dei desktop (dall’esterno dell’Azienda) basata su autenticazione a due fattori; estensione e diffusione di strumenti XX sul parco server (XX e XX) e sul parco client; limitazioni alla navigazione internet; antivirus e personal firewall operante su tutte le postazioni di lavoro, oltre che su parco server; disattivazione della possibilità di inoltro della mail aziendale ad un server di posta esterno; segmentazione della rete e segregazione degli ambiti attraverso implementazione di DMZ su firewall interni (es: XX, XX, ecc.); avvio di un articolato cambio gestionale che, per i fornitori ICT, prevede un accesso al XX dal quale viene garantito l’accesso al solo (limitato) numero di server direttamente in gestione; ristrutturazione dei server operanti al supporto dei domain controller aziendali; definizione di un unico strumento aziendale per il controllo remoto delle postazioni di lavoro, utilizzato sia dal personale aziendale che dai fornitori IT; consolidamento di strumenti automatici per la cessazione delle utenze in occasione della cessazione del rapporto di lavoro (partendo da anagrafe dipendenti); costante aggiornamento dei PC e dei server di famiglia XX per mezzo di XX; periodico aggiornamento della XX; periodico aggiornamento dei server di famiglia XX; progressiva dismissione delle postazioni con sistema operativo XX; progressiva sostituzione dei PC a favore dei dispositivi thin client; adozione di un regolamento per l’accesso all’istituto dello SmartWorking, dove vengono regolati i tempi, i modi e gli strumenti per operare in tale modalità di lavoro; eventi formativi rivolti al personale aziendale, amministrativo e sanitario, avvenuti nel mese di XX e XX, in cui si sono mostrati i comportamenti da assumere in circostanze di rischio, su quest’ultimo punto sono previsti anche eventi a livello regionale; partecipazione ad iniziativa regionale mirata a definire le azioni tattiche sulla sicurezza” (v. pagg. XX).
Con riferimento alle misure tecniche e organizzative adottate per prevenire simili violazioni future, l’Azienda ha dichiarato che avrebbe aumentato “i livelli di sicurezza delle infrastrutture e dei servizi introducendo sistemi di autenticazione con almeno due fattori, (…) il livello di monitoraggio e di sicurezza attraverso l’introduzione dei sistemi di SIEM (Security Information Management)”, segmentato “le reti e le comunicazioni” e che “a livello regionale sono state attivate una serie di iniziative che, coinvolgendo tutte le Aziende Sanitarie, mirano ad eseguire un’analisi della situazione attuale, individuare le potenziali criticità e definire le strategie per porvi rimedio. Nello specifico, tra le misure già adottate, si evidenzia:
• attivazione di accesso in VPN basata su autenticazione a due fattori;
• attivazione di accesso alla infrastruttura di virtualizzazione dei desktop basata su autenticazione a due fattori;
• estensione e diffusione di strumenti XX sul parco server (XX e XX) e sul parco client;
• ulteriore limitazione della navigazione internet, che risultava già comunque limitata;
• riorganizzazione delle modalità di accesso da remoto, limitando fortemente il ricorso al protocollo RDP;
• ristrutturazione dei server operanti al supporto dei domain controller aziendali.
Verranno altresì attivati, sulla base anche delle suesposte iniziative coordinate a livello regionale, altri strumenti per aumentare il livello di monitoraggio della sicurezza tra cui: individuazione di uno specialista di sicurezza che, nell’ambito dell’iniziativa regionale, seguirà la ASST; sistemi SOC per vigilanza in regime h24 sui sistemi aziendali XX ed antivirus; sistemi SIEM quale strumento di correlazione dei dati; saranno organizzati ulteriori eventi formativi per responsabilizzare maggiormente il personale e gli utenti aziendali” (v. notifiche del XX e XX, sez.XX, punto XX).
Con nota del XX, l’Azienda ha rappresentato che “sono state inoltre attivate importanti iniziative a livello regionale che, coinvolgendo tutte le Aziende Sanitarie, agiscono sull’accrescimento in materia sicurezza; tra queste riveste enorme importanza l’attivazione di un Security Operation Center (SOC) che, per mezzo di una specifica attività di monitoraggio in regime h24 sui sistemi XX delle Aziende Sanitarie lombarde, vigila a livello sovraziendale su potenziali eventi di rischio. Tra le misure previste in attivazione nel corso degli esercizi XX: attivazione di un Security Information and Event Management (SIEM) quale strumento di correlazione dei vari log raccolti da server, apparati di rete, antivirus, XX, ecc; eventi formativi che, rivolti a tutto il personale aziendale, riguardino informatica di base, utilizzo degli strumenti informatici, utilizzo della posta elettronica e delle minacce potenziali; attivazione modalità di autenticazione a 2 fattori sul client di posta elettronica XX per accessi dall’esterno dell’Azienda; accesso alla posta elettronica aziendale da dispositivo mobile, disaccoppiato dall’utenza di dominio aziendale; stesura di un documento per la gestione degli incidenti informatici; stesura di nuovo regolamento utilizzo strumenti elettronici aziendali”.
5. Valutazioni dell’Ufficio sul trattamento effettuato e notifica della violazione di cui all’art. 166, comma 5 del Codice
In ordine alla fattispecie descritta, l’Ufficio, sulla base di quanto rappresentato dal titolare del trattamento nell’atto di notifica di violazione e nei riscontri alle richieste di informazioni dell’Autorità, nonché delle successive valutazioni, ha notificato al medesimo titolare, ai sensi dell’art. 166, comma 5, del Codice, l’avvio di un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24 novembre 1981). In particolare, con atto n. XX del XX, l’Autorità ha ritenuto che l’Azienda aveva posto in essere trattamenti in violazione del principio di “integrità e riservatezza”, di cui all’art. 5, par. 1, lett. f), del Regolamento nonché degli obblighi in materia di sicurezza del trattamento (art. 32 del Regolamento).
La medesima Azienda ha fatto pervenire le proprie memorie difensive, ai sensi dell’art. 166, comma 6, del Codice. In particolare, con nota del XX, ha precisato quanto già comunicato, dichiarando che:
- “elemento essenziale per la valutazione dell’evento è la natura del fattore scatenante la violazione, che nel caso di specie è l’azione illecita messa in atto dall’organizzazione denominata “Vice Society”, formata da hacker esperti, che hanno attaccato l’ASST con tecniche e modalità avanzate, complesse da prevenire come anche da rilevare. Ed infatti, anche Enti specializzati nella gestione e nella individuazione di attacchi hacker (quali quelli intervenuti presso i sistemi dell’ASST: specialisti della Cyber Security Operations Center di ARIA SpA, agenti della Polizia Postale e delle Comunicazioni, specialisti dell’Agenzia Cybersicurezza Nazionale) non sono stati in grado di ricostruire completamente l’evento e, quindi, di identificare il vettore di attacco. Nemmeno la Polizia Giudiziaria è risultata in grado di accertarne la provenienza, proprio a causa delle tecniche adoperate dagli autori, i quali – come accertato dagli inquirenti – hanno fatto ricorso a tecniche “anti-forensics”, cancellando parti dei registri di sistema e nascondendo quindi le operazioni svolte sui sistemi informatici attaccati. Appaiono indiscutibili, quindi, le difficoltà per un ente come l’ASST Fatebenefratelli Sacco di fronteggiare attacchi così organizzati ed orchestrati, tenendo conto dell’elevatissimo numero di personale impiegato nell’utilizzo dei sistemi informativi aziendali e delle risorse economiche a disposizione; (…) tutte le attività di hardening dei sistemi informatici e delle reti aziendali che sono state condotte nel corso degli anni precedenti all’attacco, sono state sviluppate in contemporanea con l’emergenza COVID che, durante gli esercizi XX e XX, ha fortemente impattato sui sistemi informativi, chiamati ad automatizzare processi ed innovare i dipartimentali clinici “business-critical” in modalità estemporanea e con tempistiche rapidissime, in un contesto in cui la forza lavoro tecnico-informatica non ha subito contestuali accrescimenti. Si fa presente, infatti, che l’Ospedale Sacco dell’Azienda è centro di riferimento nazionale per le emergenze infettivologiche”;
- “per lo scopo, che nel biennio XX-XX sono stati attivati svariati servizi ai cittadini, garantendo al contempo il mantenimento di tutti i servizi già esistenti. A titolo di esempio si cita che: numerosi servizi erogati “a sportello” sono stati dematerializzati e veicolati attraverso i sistemi informativi, sviluppando spesso applicazioni in house (erogazione servizi scelta/revoca, gestione vaccinazioni, portale alunno disabile, ecc); i sistemi di refertazione, soprattutto quelli di area laboratorio, hanno lavorato ininterrottamente e a ritmi sostenuti per offrire, in tempo reale, i risultati dei tamponi ai cittadini nel più breve tempo possibile; nel corso del XX l’ASST è stata chiamata ad attivare, in tempi record, un centro vaccinale “estemporaneo” presso la sede “Fabbrica del Vapore”, che ha effettuato oltre 400.000 vaccinazioni operando in regime 7 giorni su 7; per svariate centinaia di dipendenti è stata attivata una modalità di lavoro in regime “smartworking” per garantire l’operatività delle funzioni centrali anche in periodo di lockdown; alcune prestazioni sanitarie sono state erogate in modalità televisita, richiedendo un tempestivo adeguamento dei sistemi aziendali, oltre che le infrastrutture di rete”;
- “nel corso del periodo pandemico sono state (..) centinaia le campagne massive di phishing indirizzate al dominio aziendale, sventate grazie anche alla costante “riprogrammazione” dei sistemi di gestione della posta elettronica da parte dei sistemisti aziendali. È in tale contesto, dove il personale dell’area ICT ha subito una perdurante situazione di stress e di elevati carichi di lavoro, che si è posizionato l’attacco hacker da parte del gruppo “Vice Society””;
- “solo un attacco portato da un’organizzazione con intenti criminosi, peraltro in un contesto di forte difficoltà organizzativa e gestionale dipesa dallo stato di emergenza legato all’epidemia da COVID-19 (ulteriore fattore esterno non dipendente dalla volontà dell’ASST), ha determinato la violazione in parola”;
- “il Titolare del trattamento, al momento della violazione, era dotato di:
sistemi di protezione perimetrale;
sistemi di autenticazione centralizzata con regole di scadenza delle password XX, con complessità delle password, non ripetibilità delle password;
sistema antivirus su tutti i server e tutte le postazioni di lavoro;
XX, sistema XX su un limitato numero di server;
sistema di personal firewall su un limitato numero di postazioni di lavoro;
VPN con accesso controllato da utenza e password;
tutti i sistemi erano sottoposti regolarmente a backup secondo periodicità predefinita;
autenticazione individuale dei tecnici delegati dalle software house autorizzate;
limitazione, per gruppi utente, dell'accesso alla navigazione XX;
presenza di black list siti navigazione;
sostituzione ed armonizzazione dei firewall aziendali, con periodica attività di patching ed equipaggiati con antivirus per controllo perimetrale;
presenza sistema antispam a bordo del sistema di gestione della posta elettronica;
disponibilità di una copertura wifi aziendale, XX, consente accesso ad internet per una sessione a tempo limitato;
progressiva sostituzione dei PC con dispositivi thin client”;
- “relativamente ai sistemi file sharing, l’ASST aveva adottato la seguente policy:
l’accesso alle cartelle era consentito, in modalità lettura/modifica, agli utenti autorizzati dal responsabile di struttura attraverso l’utilizzo di gruppi di sicurezza gestiti a livello di dominio;
tutti i sistemi erano sottoposti a regolare e costante backup XX; tale misura tecnica ha consentito il totale ripristino dei sistemi, senza alcuna perdita di patrimonio informativo;
sui sistemi era presente controllo screening sulle tipologie di file salvati, per impedire che gli utenti potessero salvare file con estensioni non consentite (es: XX);
sui sistemi erano attivi sistemi antivirus e antimalware costantemente aggiornati”;
- “per quanto riguarda il personale impiegato nella attività di trattamento mediante l’utilizzo dei sistemi coinvolti nella violazione, il Titolare aveva predisposto le seguenti misure:
corsi di formazione in aula in cui si illustravano, tra l'altro, comportamenti da adottare in caso di mail phishing;
informazione al personale anche per mezzo di Circolare del Direttore Generale relativa alle regole di comportamento da porre in essere per l’utilizzo degli strumenti informatici aziendali;
- “inoltre, (…), seppure non ancora attivi al momento dell’attacco subito, l’ASST aveva già disposto l’attivazione di sistemi di autenticazione a doppio fattore, con ciò dimostrando che il Titolare aveva predisposto un percorso di implementazione di misure che, nel caso di specie, solo per il fattore temporale non hanno trovato applicazione”;
- “per quanto riguarda la gravità della violazione, pur dovendosi tenere in considerazione la quantità e tipologia di dati che sono stati violati e il fatto che tra gli interessati figurano anche persone vulnerabili (minori e pazienti in condizioni di salute precarie), il Titolare ritiene che – con particolare riguardo al potenziale impatto per gli interessati – si possa qualificare come “media”; si precisa che la differente qualificazione della gravità rispetto a quella inizialmente ipotizzata dal Titolare nella notifica all’Autorità (gravità “alta”, sia per quanto concerne il “potenziale impatto per gli interessati” che rispetto al “rischio elevato per i diritti e le libertà delle persone fisiche”), si ritiene potersi sostenere per le seguenti ragioni emerse successivamente alla predetta notifica: 1) Dagli esiti degli accertamenti effettuati, emerge come i dati pubblicati sul dark web risultino in realtà di difficile visione e consultazione. Dalla richiesta di archiviazione del procedimento penale avviato a seguito di denuncia presentata dall’Ente (documento agli atti dell’Autorità), si evince infatti come la Polizia Giudiziaria, dalla nomenclatura dei files sottratti, in un primo momento aveva addirittura ritenuto di poter escludere la presenza di dati sanitari di pazienti. La stessa P.G., (…), ha successivamente evidenziato la pubblicazione di files sensibili sul darkweb, ma che la provenienza dei dati non è stata accertata. 2) trascorsi quasi due anni dalla pubblicazione dei dati sul dark web, non è stata avanzata alcuna richiesta risarcitoria nei confronti dell’azienda da parte di utenti/pazienti a cui potrebbero riferirsi i dati oggetto di violazione; si può ragionevolmente supporre, quindi, che non siano intervenute lesioni gravi ai diritti e agli interessi delle persone fisiche coinvolte nella violazione. 3) A seguito di procedure di ripristino dell’operatività dei sistemi predisposte dal Titolare del trattamento, il patrimonio informativo è stato ripristinato nella situazione quo ante all’attacco. 4) Il ripristino di tutti i servizi momentaneamente irretiti dall’attacco subito, è stato effettuato in termini rapidi e senza evidenti conseguenze negative (né per l’Azienda, né per gli utenti), soprattutto per quanto riguarda i servizi essenziali relativi: alla infrastruttura tecnologica; ai sistemi di base e di integrazione (XX, XX, XX, ecc.); ai sistemi dell’area clinico-sanitaria (Pronto Soccorso, Gestione Ricoveri, Refertazione Ambulatoriale, CUP, ecc.); ai sistemi diagnostici (Radiologia, Laboratori, ecc.); i quali sono stati progressivamente ripristinati in pochi giorni (operazioni concluse il XX), con ciò garantendo alle strutture la possibilità di non limitare la propria operatività e scongiurare rischi per la salute e l’incolumità dei pazienti”;
- sono state rese “informazioni (…) alla cittadinanza rispetto all’attacco subito dall’azienda (“Avviso attacco ai sistemi informativi aziendali” – inserito il XX https://www.asst-fbfsacco. it/news/info/avviso-attacco-ai-sistemiinformativi- aziendali - Albo Pretorio provvisorio, modificato l’XX https://www.asst-fbf-sacco.it/pages/albopretorio-provvisorio) informazione del XX agli interessati coinvolti tramite pubblicazione sul sito internet istituzionale di una nota nella quale si informavano i cittadini dell’accaduto e delle misure di sicurezza adottate per mitigare gli effetti negativi sugli interessati”.
In data XX si è svolta l’audizione richiesta dall’Azienda, che ha inteso precisare che:
- “il Gruppo criminale VICESOCIETY aveva sferrato, circa due mesi prima, attacchi all’ABI e anche ad altre organizzazioni pubbliche e sanitarie, in particolare; l’atipicità del comportamento dell’attaccante è stato rilevato in relazione anche alla pubblicazione dei file nel dark web circa 50 giorni dopo l’attacco stesso e non immediatamente dopo la scadenza del termine di richiesta del riscatto, come generalmente accade”;
- “le attività criminali sono iniziate diverso tempo prima del verificarsi dell’attacco (presumibilmente un anno), quando l’Azienda era oggetto di intense campagne SPAM e di phishing e i dipendenti svolgevano l’attività lavorativa in smart working, utilizzando anche dispositivi personali non dotati delle misure di sicurezza tipiche dei dispositivi aziendali”;
- “durante l’attività di analisi XX ipotizzato che due siano stati i gruppi criminali attaccanti: il primo avrebbe effettuato l’attività di ricognizione e il furto delle credenziali, il secondo (Vice society), le avrebbe successivamente acquistate all’asta e pianificato l’attacco in un giorno festivo (1° maggio)”;
- “su uno dei siti specializzati in cybersicurezza era già indicato che le credenziali rubate erano in vendita da mesi, ma di tale informazione l’Azienda è venuta a conoscenza dopo l’attacco”;
- “non è stato possibile individuare con precisione il numero dei soggetti interessati dall’attacco, poiché i file esfiltrati (circa 40.000) risultavano disaggregati, mescolati, destrutturati e prelevati da file sharing, la cui analisi avrebbe richiesto l’apertura di ogni singolo file; tale attività avrebbe comportato presuntivamente un lavoro di circa 17/18 mesi, che l’Azienda non aveva le risorse per poter effettuare; in ogni caso, un’attività di questo tipo avrebbe anche esposto l’Azienda a ulteriori rischi di sicurezza”;
- “si ritiene che, anche ove fossero già state attivate la MFA (rispetto alla quale già a XX era stato emesso un ordine MEPA-CONSIP) e la segmentazione delle reti, ciò avrebbe potuto ridurre l’entità della problematica, ma non avrebbe garantito la prevenzione dell’attacco, anche perché, non potendo ricostruire interamente la catena dell’attacco, non è stato possibile individuare il vettore”;
- “si ribadisce che l’Azienda, allo stato, riteneva di aver adottato misure proporzionate al rischio dei dati trattati e che ha rappresentato in modo trasparente e dettagliato quanto accaduto, manifestando la piena collaborazione con tutte le Autorità con le quali ha interagito; ha ribadito, altresì, che la preparazione dell’attacco si è collocata nel pieno periodo emergenziale, quando l’Azienda era impegnata in primissimo piano ad erogare servizi per i cittadini”.
6. Esito dell’attività istruttoria
Preso atto di quanto rappresentato dall’Azienda nel corso del procedimento, si osserva che:
si considerano “dati relativi alla salute”, “i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15, del Regolamento; cfr. anche sentenza Corte di giustizia dell’Unione europea del 4 ottobre 2024, nella causa C-21/23);
i dati personali devono essere “trattati in maniera da garantite un’adeguata sicurezza (…) compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (principio di «integrità e riservatezza», art. 5, par. 1, lett. f), del Regolamento);
l’art. 32 del Regolamento, concernente la sicurezza del trattamento, stabilisce che “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio (…)” (par. 1) e che “nel valutare l’adeguato livello di sicurezza si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati” (par. 2);
le “Linee guida 9/2022 sulla notifica delle violazioni dei dati personali ai sensi del RGPD” adottate dal Comitato europeo per la protezione dei dati il 28 Marzo 2023 chiariscono, inoltre, che “la capacità di individuare, trattare e segnalare tempestivamente una violazione deve essere considerata un aspetto essenziale” delle misure tecniche e organizzative che il titolare e il responsabile del trattamento devono mettere in atto, ai sensi dell’art. 32 del Regolamento, per garantire un livello adeguato di sicurezza dei dati personali;
secondo il Considerando n. 87, “è opportuno verificare se siano state messe in atto tutte le misure tecnologiche e organizzative adeguate di protezione per stabilire immediatamente se c’è stata violazione dei dati personali e informare tempestivamente l’autorità di controllo e l’interessato”.
7. Conclusioni: dichiarazione di illiceità del trattamento.
Alla luce di quanto sopra rappresentato, si rileva che i trattamenti effettuati nel contesto in esame richiedono l’adozione dei più elevati standard di sicurezza al fine di non compromettere la riservatezza, l’integrità e la disponibilità dei dati personali di un numero rilevante di interessati. Ciò, tenendo altresì conto delle finalità dei trattamenti e della natura dei dati personali trattati, appartenenti anche a categorie particolari e, in particolare, a dati sulla salute. A tal riguardo, gli obblighi di sicurezza previsti dal Regolamento impongono l’adozione di rigorose misure tecniche e organizzative, includendo, oltre a quelle espressamente individuate dall’art. 32, par. 1, lett. da a) a d), tutte quelle necessarie ad attenuare i rischi che i trattamenti presentano.
Sulla base delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante” gli elementi forniti dal titolare del trattamento nella memoria difensiva sopra richiamata, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con il richiamato atto di avvio del procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019.
Dall’esame delle informazioni e degli elementi acquisiti nonché della documentazione fornita il trattamento effettuato dall’Azienda risulta illecito, in quanto posto in essere in violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento, in relazione ai profili di seguito riportati.
7.1. Mancata adozione di misure adeguate a rilevare tempestivamente la violazione dei dati personali
Nel corso dell’istruttoria è emerso che “dai log in possesso dell’ASST […] l’attività di compromissione era dormiente da un momento precedente e che si è manifestata con attacco del XX. Non è stato possibile risalire al vettore di attacco” (v. notifica del XX, sez. XX, punto XX), che “dalle analisi è stata rilevata una attività di esfiltrazione di dati che, iniziata prima della data dell’attacco, colpiva un server adibito a ruolo di file sharing, trasferendo i dati verso la piattaforma di file transfer denominata MegaUpload”. Inoltre erano attivi “su un limitato numero di server […] strumenti XX” (v. nota del XX, pag. XX) e, a seguito dell’attacco, la ASST ha ritenuto necessario, fra le altre misure, dotarsi di un “Security Information and Event Management (SIEM) quale strumento di correlazione dei vari log raccolti da server”. Quanto sopra rappresentato ha evidenziato una carenza nell’adozione delle misure che non ha consentito all’Azienda di rilevare e venire tempestivamente a conoscenza della violazione dei dati personali occorsa.
La mancata adozione di misure adeguate a rilevare tempestivamente le violazioni dei dati personali non risulta conforme alle disposizioni di cui all’art. 5, par. 1, lett. f), e all’art. 32, par. 1, del Regolamento che, nel caso in esame, tenuto conto di quanto previsto dalle citate Linee guida, richiede che il titolare e il responsabile del trattamento debbano mettere in atto misure per “individuare […] tempestivamente una violazione”.
7.2. Mancata adozione di misure adeguate a garantire la sicurezza dei sistemi e delle reti
Nel corso dell’istruttoria è emerso che l’Azienda non aveva adottato adeguate misure per segmentare e segregare le reti su cui erano attestate le postazioni di lavoro dei propri dipendenti, nonché i sistemi (server) utilizzati per i trattamenti. In relazione a tale aspetto, l’Azienda, a seguito dell’incidente, ha ritenuto necessario procedere alla “segmentazione della rete e segregazione degli ambiti attraverso implementazione di DMZ su firewall interni”.
Peraltro, al momento in cui si è verificata la violazione dei dati personali, l’accesso remoto, tramite VPN, alla rete dell’Azienda, avveniva mediante una procedura di autenticazione informatica basata solo sull’utilizzo di username e password. In relazione a tale aspetto, l’Azienda ha specificato che “al momento dell'attacco l’autenticazione a doppio fattore, ancorché non implementata, era in corso di attivazione (l’ordine di richiesta attivazione è stato emesso nel XX e la misura è stata attivata immediatamente alla ripresa dei servizi dopo l’attacco informatico”.
La mancata realizzazione, al momento della violazione, di misure adeguate a garantire la sicurezza delle reti e la mancata adozione di un sistema di autenticazione a doppio fattore, non risulta pienamente conforme alle disposizioni di cui all’art. 5, par. 1, lett. f), e all’art. 32, par. 1, del Regolamento che, nel caso in esame, richiede che il titolare del trattamento debba mettere in atto misure per “assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento” (lett. b)).
Al riguardo, la circostanza che, al momento dell’incidente, l’Azienda avesse avviato alcuni interventi volti a rafforzare le procedure di autenticazione -seppur meritevole di considerazione per la valutazione in ordine al principio della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita (art. 25 del Regolamento) - non può essere ritenuta idonea ad escludere una violazione dell’art. 32 del Regolamento. Ciò, in quanto l’aggravarsi del rischio cibernetico, derivante anche dalla diffusione, durante la pandemia COVID-19, di modalità e strumenti tecnologici per consentire lo svolgimento a distanza delle attività (lavorative e non), era già prevedibile al momento della violazione. Pertanto, in considerazione dell’aumento significativo degli attacchi da parte dei cybercriminali soprattutto nei confronti di strutture sanitarie, l’Azienda avrebbe dovuto aggiornare continuamente, nel corso del tempo, la valutazione sulla sicurezza, al fine di ponderare i nuovi e ben più gravi rischi connessi al trattamento per i diritti e le libertà degli interessati in relazione all’adeguatezza delle misure adottate (in ragione della natura dei dati trattati, della larga scala degli interessati, anche vulnerabili, coinvolti, nonché delle possibili conseguenze negative nei confronti dei medesimi).
Si ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.
8. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).
La violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento, causata dalla condotta posta in essere dall’Azienda, comporta l’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 4 e 5 del Regolamento.
Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle (altre) misure (correttive) di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso”, mediante l’adozione di una ordinanza ingiunzione (art. 18 legge 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dall’Azienda, di cui è stata accertata l’illiceità, nei termini sopra esposti.
Ritenuto di dover applicare il par. 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.
Alla luce di quanto sopra illustrato e, in particolare, della categoria di dati personali interessata dalla violazione, che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, si ritiene che il livello di gravità della violazione commessa dalla Azienda sia alto (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60), nonostante il carattere non intenzionale della violazione (l’episodio risulta essere stato determinato da un comportamento doloso da parte di un soggetto terzo, denunciato formalmente alla polizia postale).
Ciò premesso, sono valutati nel loro complesso taluni elementi e, in particolare, che:
- il Garante ha preso conoscenza dell’evento a seguito della notifica di violazione effettuata dall’Azienda, ai sensi dell’art. 33 del Regolamento e non sono pervenuti reclami o segnalazioni in ordine alla violazione oggetto del presente provvedimento (art. 83, par. 2, lett. h) e k) del Regolamento);
- l’Azienda, al fine di evitare la ripetizione dell’evento occorso, si è impegnata nel rafforzamento di specifiche misure e ha cooperato con l’Autorità in ogni fase dell’istruttoria, al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi (art. 83, par. 2, lett. c) e f) del Regolamento);
- l’attacco si è verificato subito dopo la fine del periodo pandemico, che ha inciso sui processi di adeguamento dei sistemi e delle iniziative formative (art. 83, par. 2, lett. k) del Regolamento).
Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di determinare l’ammontare della sanzione pecuniaria nella misura di euro 40.000,00 (quarantamila/00) per la violazione degli artt. 5 e 32 del medesimo Regolamento, in ragione dei principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi, ai sensi dell’art. 83, par. 1, del Regolamento.
In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante. Ciò, in considerazione della tipologia di dati personali oggetto di illecito trattamento e del rilevante numero di interessati potenzialmente coinvolti.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dalla Azienda Socio Sanitaria Territoriale Fatebenefratelli-Sacco, con sede legale in Via G.B Grassi n. 74, 20157 – Milano, Codice Fiscale/Partita Iva 09319690963, nei termini di cui in motivazione, per la violazione degli artt. 5 e 32 del Regolamento;
ORDINA
ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, alla medesima Azienda, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 40.000,00 (quarantamila/00) a titolo di sanzione amministrativa pecuniaria per la violazione indicata nel presente provvedimento.
INGIUNGE
alla predetta Azienda di pagare la somma di euro 40.000,00 (quarantamila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come sotto indicato.
DISPONE
a) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
b) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;
c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.
Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.
Roma, 14 novembre 2024
IL PRESIDENTE
Stanzione
IL RELATORE
Scorza
IL SEGRETARIO GENERALE
Mattei