Ordinanza ingiunzione o revoca n. 557 del 30/11/2023

Medical Center s.r.l. – accesso non autorizzato al registro eventi della piattaforma referti

Il provvedimento riguarda la piattaforma di refertazione online di Medical Center s.r.l. e origina da una segnalazione relativa alla possibilità di accedere, tramite manipolazione del link, ad informazioni riferite ad altri interessati e al registro eventi dei referti. Il Garante ha esaminato il trattamento alla luce degli obblighi di sicurezza, privacy by design e responsabilizzazione del titolare.

Origine della segnalazione e contenuto del reclamo

L’Autorità ha ricevuto una segnalazione in cui si rappresentava che la piattaforma consentiva di visualizzare, cambiando il numero finale del link, informazioni relative ad altri referti. In particolare, espandendo una sezione del sistema, sarebbe stato possibile vedere il "Registro eventi" del referto contenuto nel link, con indicazione del nome utente di un soggetto terzo in formato nome.cognome. Secondo il segnalante, ciò avrebbe consentito a un utente loggato di enumerare i nominativi dei pazienti che avevano fruito dei servizi della struttura.

Istruttoria svolta dal Garante

L’Ufficio ha chiesto chiarimenti alla società ai sensi dell’art. 157 del Codice. Medical Center s.r.l. ha riferito che la piattaforma era stata progettata e manutenuta da CB Sistemi s.r.l., inizialmente sulla base di un contratto di servizio e poi formalmente come responsabile del trattamento ai sensi dell’art. 28 GDPR. La società ha spiegato che il problema era dipeso da un bug dell’applicativo, che consentiva di visualizzare una piccola parte dei dati relativi ad accettazioni intestate a utenze diverse da quella loggata, in particolare il registro delle operazioni con nome utente e data/ora del download. Ha anche dichiarato che il malfunzionamento era stato risolto prontamente e che, dopo l’intervento, erano state nascoste le informazioni non visibili agli utenti non autorizzati.

Difese del titolare e ricostruzione tecnica

Nelle memorie difensive la società ha sostenuto che il tentativo del segnalante aveva riguardato operazioni di download relative a una sola persona fisica e che gli altri accessi evocati erano riconducibili alla medicina del lavoro e dunque ad aziende. Ha affermato che il nome e cognome visibili non avrebbero consentito un’identificazione univoca per via di possibili omonimie e che il codice univoco del paziente era un progressivo automatico non idoneo a risalire alla persona o alla prestazione. Ha inoltre richiamato misure di sicurezza software, come autenticazione MVC e antiforgery token, sostenendo che il bug fosse emerso durante un aggiornamento e non fosse presente all’acquisto del software. La società ha anche prospettato ulteriori misure future, tra cui controlli periodici, penetration test, vulnerability assessment e sensibilizzazione dei fornitori.

Valutazioni del Garante sulla natura dei dati e sugli obblighi applicabili

Il Garante ha richiamato la definizione di dato personale e di dato relativo alla salute di cui all’art. 4 GDPR, precisando che l’informazione relativa all’avvenuta prestazione sanitaria riferita a una persona identificata tramite nome utente costituisce dato sulla salute. Ha ricordato che il titolare può ricorrere a responsabili del trattamento solo se questi offrano garanzie sufficienti e che, in ogni caso, il titolare mantiene una responsabilità generale sui trattamenti effettuati per suo conto.

Violazioni accertate: sicurezza, privacy by design e responsabilità del titolare

Secondo l’Autorità, l’applicativo avrebbe dovuto essere testato e collaudato anche a seguito dell’aggiornamento che introduceva la funzionalità di consultazione del registro delle operazioni. La vulnerabilità era stata prevista in fase di test iniziale e bloccata, ma non era stata considerata dopo l’aggiornamento del portale, che aveva introdotto una nuova funzionalità senza esaminare il rischio di manipolazione dell’URL. Per questo il Garante ha ritenuto violati:

• l’art. 5, par. 1, lett. f), GDPR, per carenza di integrità e riservatezza;
• l’art. 25, par. 1, GDPR, per mancato rispetto della protezione dei dati fin dalla progettazione;
• l’art. 32 GDPR, per assenza di misure tecniche e organizzative adeguate e di verifiche regolari sull’efficacia delle misure.

Il fatto che la manutenzione fosse affidata a CB Sistemi s.r.l. non ha escluso la responsabilità di Medical Center s.r.l., che avrebbe dovuto vigilare, controllare o revisionare la sicurezza dei trattamenti svolti per suo conto.

Esito del procedimento e qualificazione della violazione

Il Garante ha ritenuto il trattamento illecito, ma ha escluso l’adozione di misure correttive ulteriori ex art. 58, par. 2, GDPR, poiché la condotta aveva esaurito i suoi effetti. Nel valutare la gravità, ha considerato che si trattava di un fatto isolato, senza dolo, con colpa lieve; che la violazione riguardava i dati sulla salute di un solo interessato, senza accesso al contenuto dei referti; che la società era intervenuta tempestivamente; e che non risultavano precedenti pertinenti. Per tali ragioni il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida sanzionatorie del WP29.

Provvedimento finale e pubblicazione

Il Garante ha quindi:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da Medical Center s.r.l.;
• ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR per la violazione degli artt. 5, par. 1, lett. f), 25, par. 1, e 32 GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019.

Non è stata irrogata una sanzione pecuniaria, ma solo l’ammonimento, con riconoscimento della violazione e della necessità di adeguare i controlli tecnici e organizzativi sui sistemi di refertazione online.