Ordinanza ingiunzione o revoca n. 762 del 27/11/2024

Molise Dati S.p.A. - vulnerabilità del portale FSE e accesso non autorizzato a dati sanitari

Il provvedimento riguarda il portale del Fascicolo Sanitario Elettronico della Regione Molise e l'irrogazione di una sanzione a carico di Molise Dati S.p.A., responsabile del trattamento per l'implementazione tecnica del sistema. Il procedimento trae origine da una notificazione di violazione dei dati personali effettuata dalla Regione ai sensi dell'art. 33 GDPR, a seguito della scoperta di una vulnerabilità che consentiva a un assistito di accedere, tramite manipolazione della URL, ai dati di altri cittadini.

Origine della violazione e attività istruttoria

Secondo quanto emerso in istruttoria, un utente autenticato con ruolo di "assistito" riusciva a modificare la URL da .../fseui/dashboard a .../fseui/list, attivando la funzionalità di ricerca cittadino e accedendo poi alla consultazione dei dati anagrafici e del FSE di altri assistiti. La Regione ha quantificato in 7 i soggetti coinvolti. Il Garante ha svolto richieste di informazioni alla Regione per chiarire la natura della vulnerabilità, gli interventi di rimedio, i ruoli dei soggetti coinvolti e l'eventuale necessità di comunicazione agli interessati.

Dati coinvolti e impatto potenziale

I dati consultabili comprendevano:

• dati anagrafici (nome, cognome, data e città di nascita);
• dati di residenza e domicilio;
• dati relativi all'assistenza sanitaria (ASL e distretto di appartenenza, medico di base, esenzioni);
• documenti e referti sanitari presenti nel fascicolo sanitario elettronico.

Il Garante ha rilevato che, per la natura del FSE e dei dati trattati, il contesto richiede standard di sicurezza elevati, atteso il possibile impatto sulla riservatezza, integrità e disponibilità di dati anche appartenenti a categorie particolari.

Ruoli del trattamento e catena contrattuale

Dalle memorie difensive della Regione e di Molise Dati è emerso che:

• la Regione Molise era titolare del trattamento;
• Molise Dati S.p.A. era designata responsabile del trattamento;
• TIM S.p.A. era sub-responsabile;
• Engineering Ingegneria Informatica S.p.A. era ulteriore sub-responsabile.

L'attività di implementazione tecnica del FSE era stata affidata a Molise Dati, che aveva a sua volta aderito a un contratto quadro SPC Cloud e coinvolto il partner tecnologico. L'atto di nomina imponeva, tra l'altro, l'adozione di misure di sicurezza adeguate, la definizione di profili autorizzativi in logica "need to know" e l'esecuzione di attività di vulnerability assessment e individuazione delle vulnerabilità.

Valutazioni del Garante sulle misure di sicurezza

L'Autorità ha richiamato l'art. 5, par. 1, lett. f), e l'art. 32 GDPR, ricordando che il titolare e il responsabile devono adottare misure tecniche e organizzative adeguate al rischio e, in particolare, idonee a prevenire accessi non autorizzati o illeciti. Nel caso di specie, il Garante ha accertato che il portale FSE consentiva la consultazione di dati di terzi in assenza di un'effettiva verifica dei permessi di autorizzazione dell'utente autenticato.

Il Garante ha inoltre osservato che, ai sensi delle linee guida EDPB sui concetti di titolare e responsabile del trattamento, il responsabile conserva verso il titolare la responsabilità dell'adempimento degli obblighi degli ulteriori responsabili/sub-responsabili.

Esito del procedimento e sanzione

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Molise Dati S.p.A. per violazione dell'art. 32 GDPR, ritenendo non superati i rilievi contestati in sede istruttoria. Ai fini della quantificazione della sanzione ex art. 83, par. 2 e 4 GDPR, ha considerato:

• la comunicazione dell'evento da parte del titolare;
• la natura dei dati, idonei a rivelare informazioni sulla salute;
• il numero limitato di interessati coinvolti (7);
• la durata dell'esposizione, circa 45 giorni (dal 14 novembre al 30 dicembre 2022);
• la non facile rilevabilità e sfruttabilità della vulnerabilità;
• l'elevata cooperazione della società e l'immediata correzione del problema;
• l'assenza di precedenti sanzionatori analoghi.

È stata quindi applicata a Molise Dati S.p.A. una sanzione amministrativa pecuniaria di 10.000 euro.

Misure accessorie e impugnazione

Il provvedimento dispone:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento ai sensi dell'art. 154-bis, comma 3, del Codice;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Contro il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.