Ordinanza ingiunzione o revoca n. 488 del 11/09/2025

Cerba HealthCare Campania S.r.l. – data breach su portale di prenotazione e database sanitari

Il provvedimento riguarda Cerba HealthCare Campania S.r.l. ed è conseguenza di una violazione dei dati personali notificata al Garante dopo un attacco informatico al sito istituzionale e ai sistemi collegati al CUP e al magazzino. L’episodio ha comportato l’esfiltrazione di dati comuni e, per una parte degli interessati, anche di dati relativi alla salute.

Origine del procedimento e attività istruttoria

La Società ha presentato notifica di data breach ai sensi dell’art. 33 GDPR, successivamente integrata. L’Ufficio ha richiesto chiarimenti sulle modalità di accesso ai sistemi, sulle misure di sicurezza adottate, sulle vulnerabilità della pagina web e sullo stato delle misure tecniche e organizzative adottate dopo l’incidente. Nel corso dell’istruttoria la Società ha depositato memorie difensive, relazione tecnica e ulteriori integrazioni.

Dinamica dell’incidente e dati interessati

Secondo quanto ricostruito, l’attacco ha sfruttato una vulnerabilità della pagina del portale istituzionale, consentendo accesso non autorizzato al server, navigazione del filesystem ed esfiltrazione di dati dai database a supporto dell’applicazione CUP e del magazzino. Sono stati coinvolti:

• pazienti;
• dipendenti;
• ex dipendenti;
• consulenti/collaboratori;
• pazienti e dipendenti di clienti.

La Società ha indicato l’esfiltrazione di dati personali comuni, credenziali e dati particolari, inclusi dati sanitari. In particolare, risultano esfiltrati 464 referti sanitari; nelle difese, la Società ha poi rappresentato che i file PDF coinvolti erano 467, con 464 file univoci contenenti dati sanitari. Il numero di interessati coinvolti, per i soli dati anagrafici e di contatto, è stato quantificato in 102.948.

Misure di sicurezza dichiarate e contromisure successive

La Società ha descritto una serie di presidi preesistenti, tra cui:

• firewall perimetrale e VPN;
• antivirus su postazioni e server;
• monitoraggio di rete;
• autenticazione tramite credenziali di dominio o locali per alcuni sistemi;
• uso di un account di posta esterno per assistenza ai pazienti.

Dopo la violazione sono state adottate diverse misure, fra cui:

• attivazione di un servizio anti-DDoS;
• blocco dell’IP attaccante;
• blocco degli accessi dall’estero;
• cambio di password amministrative e di gestione;
• spegnimento del web server;
• rimozione dei file malevoli;
• sospensione e successiva migrazione di servizi e applicativi;
• ulteriore rafforzamento del monitoraggio e della sicurezza;
• avvio di attività di bonifica, migrazione e dismissione di sistemi compromessi o esposti.

La Società ha anche riferito di aver effettuato comunicazioni agli interessati ai sensi dell’art. 34 GDPR, mediante e-mail, SMS, raccomandata, pubblicazioni sul sito e su quotidiani, oltre ad avvisi ai dipendenti e ai clienti coinvolti.

Valutazioni del Garante sulle violazioni normative

Il Garante ha richiamato i principi di:

• integrità e riservatezza, ex art. 5, par. 1, lett. f), GDPR;
• protezione dei dati fin dalla progettazione, ex art. 25 GDPR;
• sicurezza del trattamento, ex art. 32 GDPR.

L’Autorità ha evidenziato che, in presenza di trattamenti che coinvolgono un numero molto elevato di interessati e anche dati sulla salute, risultano necessari standard di sicurezza particolarmente elevati. Ha inoltre richiamato le Linee guida EDPB 9/2022 sulla notifica dei data breach e le Linee guida 4/2019 sull’art. 25 GDPR, sottolineando l’esigenza di verifiche periodiche, threat modeling, analisi della superficie di attacco e aggiornamento costante di sistemi e misure di protezione.

Profili di illecito accertati

L’istruttoria ha portato a ritenere che la Società non avesse adottato misure adeguate in tre ambiti principali:

• sicurezza applicativa: la pagina web compromessa presentava vulnerabilità che hanno permesso l’esfiltrazione dei dati;
• conservazione delle password: le password degli utenti erano conservate mediante una funzione di hashing ritenuta non robusta, mentre quelle degli amministratori del sito erano conservate in chiaro;
• privacy by design: non risultava adeguatamente integrato, fin dalla progettazione, un assetto di sicurezza idoneo a prevenire e contrastare il rischio, anche per sistemi preesistenti.

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, 25 e 32 GDPR.

Sanzione amministrativa e criteri di quantificazione

Applicando l’art. 83 GDPR, il Garante ha valutato la gravità della violazione come elevata, in ragione:

• della natura dei dati coinvolti, inclusi dati sulla salute;
• dell’elevato numero di interessati;
• della rilevanza dei rischi per i diritti e le libertà degli interessati.

Sono stati considerati anche elementi attenuanti, tra cui:

• l’assenza di reclami o segnalazioni pervenuti all’Autorità;
• la notifica del data breach effettuata dalla Società;
• la cooperazione nel corso dell’istruttoria;
• le misure adottate per contenere e mitigare gli effetti dell’attacco.

Tenuto conto di tali elementi, il Garante ha irrogato una sanzione amministrativa pecuniaria pari a euro 8.000,00 per la violazione degli artt. 5, 25 e 32 GDPR.

Dispositivo

Il provvedimento dispone:

• l’ordine di pagamento della sanzione di euro 8.000,00;
• il pagamento entro 30 giorni dalla notificazione;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È inoltre richiamata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.