Ordinanza ingiunzione o revoca n. 763 del 27/11/2024

Engineering Ingegneria Informatica S.p.A. - vulnerabilità del portale FSE della Regione Molise e sanzione ex art. 32 GDPR

Il provvedimento riguarda una vulnerabilità del Portale del Fascicolo Sanitario Elettronico della Regione Molise, che ha consentito a un utente autenticato con ruolo di "assistito" di accedere, tramite manipolazione della URL, alla ricerca e consultazione dei dati di altri cittadini. Il Garante ha concluso per l’illiceità del trattamento imputabile a Engineering Ingegneria Informatica S.p.A., individuata come soggetto responsabile della progettazione tecnica del sistema, e ha applicato una sanzione amministrativa pecuniaria.

Origine della vicenda e attività istruttoria

La Regione Molise ha notificato la violazione il 24 gennaio 2023 ai sensi dell’art. 33 GDPR, descrivendo un incidente di sicurezza sul portale FSE regionale. Dalle verifiche è emerso che la vulnerabilità era sfruttabile alterando manualmente l’URL della pagina dashboard in una pagina di elenco, con conseguente accesso alle funzioni di ricerca cittadino e di consultazione dei dati anagrafici e del FSE di altri assistiti.

L’Ufficio ha svolto richieste di informazioni nel 2023 per chiarire:

• la dinamica della violazione;
• gli interventi adottati per rimuovere la vulnerabilità;
• i ruoli dei soggetti coinvolti nella catena di trattamento;
• le misure tecniche e organizzative sull’identificazione, autenticazione e autorizzazione degli assistiti;
• la valutazione del rischio e l’eventuale necessità di comunicazione agli interessati.

Dati coinvolti e natura del trattamento

La Regione ha indicato che i dati consultabili comprendevano:

• dati anagrafici;
• dati di residenza e domicilio;
• dati relativi all’assistenza sanitaria (ASL, distretto, medico di base, esenzioni);
• documenti e referti sanitari.

Il Garante richiama espressamente la nozione di "dati relativi alla salute" di cui all’art. 4, par. 1, n. 15, GDPR e sottolinea che, per la finalità del FSE e per la natura particolarmente sensibile dei dati trattati, occorrono misure di sicurezza particolarmente rigorose.

Catena dei ruoli e responsabilità tecnica

Dalle memorie della Regione è emerso che:

• la Regione Molise agiva come contitolare del trattamento;
• Molise Dati S.p.A. era responsabile del trattamento;
• TIM S.p.A. era sub-responsabile;
• Engineering Ingegneria Informatica S.p.A. era ulteriore sub-responsabile, incaricata della progettazione e realizzazione tecnica del sistema, incluse autenticazione e autorizzazione.

La Regione ha anche rappresentato che l’accordo di contitolarità con ASReM consentiva il ricorso a fornitori e subfornitori esterni. Engineering ha ammesso di aver svolto l’indagine tecnica, individuato il bug e apportato la correzione.

Valutazioni del Garante sulla violazione

L’Autorità ha ritenuto che il trattamento fosse stato effettuato in violazione dell’art. 32 GDPR, poiché il sistema non impediva che un utente autenticato, manipolando parametri presenti nell’URL, accedesse a funzioni non autorizzate e a dati di altri soggetti. Secondo il Garante, Engineering, nello sviluppo del sistema e dei meccanismi di autenticazione/autorizzazione, avrebbe dovuto adottare misure adeguate e verificarne l’efficacia con opportuni test, così da limitare l’accesso alle sole informazioni legittimamente consultabili.

Il provvedimento richiama inoltre il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR e osserva che i rilievi dell’Ufficio non sono stati superati dalle difese della società.

Sanzione amministrativa e criteri di quantificazione

La violazione dell’art. 32 GDPR è stata ricondotta all’art. 83, par. 4, GDPR. Nella quantificazione della sanzione il Garante ha considerato, tra gli altri elementi ex art. 83, par. 2:

• la notifica dell’evento da parte della Regione;
• la natura dei dati, inclusi dati idonei a rivelare informazioni sulla salute;
• il numero degli interessati coinvolti: 7;
• la durata dell’esposizione: circa 45 giorni, dal 14 novembre al 30 dicembre 2022;
• il fatto che la vulnerabilità non fosse di immediata rilevazione, ma richiedesse la conoscenza dell’URL e una manipolazione intenzionale;
• la cooperazione dimostrata dalla società, che ha corretto prontamente il bug;
• l’assenza di precedenti sanzionatori o correttivi per la medesima fattispecie.

Il Garante ha ritenuto la gravità della violazione "bassa" e ha determinato la sanzione in euro 10.000,00.

Dispositivo e adempimenti conseguenti

Con il provvedimento il Garante:

• ha dichiarato l’illiceità del trattamento effettuato da Engineering Ingegneria Informatica S.p.A. per violazione dell’art. 32 GDPR;
• ha ordinato il pagamento della sanzione di euro 10.000,00 entro 30 giorni dalla notifica;
• ha ricordato la possibilità di definizione agevolata con pagamento della metà della sanzione nei termini di legge;
• ha disposto la pubblicazione dell’ordinanza-ingiunzione sul sito dell’Autorità e la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice;
• ha ordinato l’annotazione nel registro interno del Garante.

È inoltre richiamata la possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.