Ordinanza ingiunzione o revoca n. 460 del 18/06/2026

Docplanner Italy s.r.l. - sanzione per carenze di sicurezza nel trattamento di dati sanitari dopo attacco ransomware

Il provvedimento riguarda Docplanner Italy s.r.l., coinvolta come responsabile del trattamento per alcune strutture sanitarie utilizzatrici dei software GIPO e, per altri servizi, come titolare del trattamento. L’istruttoria trae origine da una violazione dei dati personali conseguente a un attacco ransomware che ha colpito l’infrastruttura GIPO, con possibili riflessi su dati personali e dati sulla salute.

Origine del procedimento e fatto oggetto di esame

L’Autorità ha ricevuto numerose notifiche di violazione ai sensi dell’art. 33 GDPR da parte di poliambulatori e altre strutture sanitarie. L’incidente è stato ricondotto a un malware di tipo ransomware attribuito al gruppo "XX", che ha interessato i server della divisione GIPO della società a Bologna e, tramite successivo movimento laterale, alcune macchine virtuali contenenti i software gestionali GIPO 8/9, GIPO LIS e servizi secondari di GIPO Next.

Nel corso dell’istruttoria la società ha prodotto un report forense e ha sostenuto che non vi fossero evidenze di effettiva esfiltrazione dei dati, ma solo tentativi di staging e accesso a un servizio di file sharing esterno. Ha inoltre dichiarato che l’attacco aveva avuto durata limitata e che i dati personali eventualmente coinvolti erano in numero ridotto. L’Autorità ha tuttavia rilevato che i dati potenzialmente interessati includevano anche dati sulla salute e altri dati personali riferiti a pazienti, collaboratori, clienti e fornitori.

Trattamenti esaminati e contesto tecnologico

Il Garante ha considerato il contesto complessivo dei trattamenti eseguiti da Docplanner Italy nel settore sanitario, caratterizzato da elevata sensibilità dei dati trattati e da ampia platea di interessati potenziali. È stata anche richiamata l’integrazione tra GIPO e la piattaforma MioDottore, nonché la presenza di ulteriori servizi, tra cui Noa Notes, basato su intelligenza artificiale, sebbene il nucleo del procedimento sia rimasto centrato sulla sicurezza dell’infrastruttura GIPO e sulla gestione della violazione.

Violazioni contestate e valutazioni del Garante

L’Ufficio aveva contestato alla società la violazione del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR e degli obblighi di sicurezza del trattamento di cui all’art. 32 GDPR. Dall’istruttoria è emerso che, prima dell’incidente, il sistema non era in grado di rilevare tempestivamente le attività anomale che avevano preceduto il deployment del ransomware; il primo alert era stato rilevato solo dall’antivirus a seguito dell’attacco.

Il Garante ha inoltre evidenziato che la società utilizzava, per alcune attività tecniche, credenziali con privilegi amministrativi non individuali e che non risultavano pienamente adeguate le procedure di autenticazione. È stato poi accertato che alcuni apparati di sicurezza presentavano vulnerabilità note non ancora aggiornate, a conferma di carenze nelle procedure di patch management e nella gestione del rischio tecnologico.

Misure tecniche e organizzative esistenti al momento dell’incidente

Prima della violazione la società aveva dichiarato di aver adottato varie misure, tra cui accesso in VPN, ACL, password policy, antivirus, backup, firewall, cifratura delle comunicazioni e, per alcuni sistemi, cifratura dei database. Tuttavia, il Garante ha ritenuto che tali misure non fossero sufficienti a garantire un livello di sicurezza adeguato al rischio, anche in considerazione della natura dei trattamenti, della presenza di dati particolari e della necessità di assicurare una capacità effettiva di individuazione precoce degli incidenti.

Interventi adottati dopo la violazione

Successivamente all’incidente la società ha adottato una serie di misure correttive: isolamento della rete, messa offline dei sistemi, preservazione dei sistemi compromessi per l’analisi forense, raccolta dei log, cambio delle credenziali, ripristino da backup, scansioni anti-malware e progressivo rafforzamento del logging e dell’autenticazione multifattoriale. Ha inoltre sostituito alcuni dispositivi di rete, centralizzato il monitoraggio degli endpoint e avviato la dismissione dell’infrastruttura legacy on-premise, con transizione verso modelli di gestione di gruppo più strutturati.

Informazioni fornite ai titolari del trattamento e cooperazione

La società ha comunicato preventivamente l’incidente a 155 clienti per consentire loro di valutare gli obblighi di notifica ex artt. 33 e 34 GDPR, e successivamente ha aggiornato tali informazioni alla luce delle analisi forensi. Il Garante ha preso atto della cooperazione con l’Autorità e della tempestiva notifica del data breach, elementi valorizzati ai fini della quantificazione della sanzione.

Esito finale, sanzione e pubblicazione

L’Autorità ha concluso che le difese non erano idonee a superare i rilievi contestati e ha accertato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. f), e 32 GDPR. Non sono state adottate ulteriori misure correttive ex art. 58, par. 2, poiché la condotta aveva cessato di produrre effetti in seguito agli interventi già realizzati.

Ai sensi dell’art. 83 GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di 10.000 euro, ritenuta effettiva, proporzionata e dissuasiva. È stato inoltre disposto il pagamento entro 30 giorni dalla notificazione, con facoltà di definizione agevolata nei limiti di legge, e la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante, oltre all’annotazione nel registro interno dell’Autorità.