Ordinanza ingiunzione o revoca n. 42 del 01/12/2022

Regione Campania: illecito trattamento nella piattaforma vaccinale anti Covid-19 e sanzione di € 10.000

Il provvedimento riguarda la Regione Campania, quale titolare dei trattamenti connessi alla piattaforma online per l’adesione alla campagna vaccinale anti Covid-19. L’istruttoria è originata da una notifica di data breach presentata da SO.RE.SA. S.p.a. e da successivi reclami e segnalazioni relativi alle modalità di accesso ai servizi sanitari online.

Origine del procedimento e fatti accertati

SO.RE.SA. aveva notificato al Garante, ai sensi dell’art. 33 GDPR, un accesso non autorizzato ai dati di contatto di cittadini campani che avevano aderito alla campagna vaccinale. In corso di istruttoria la società ha precisato che gli accessi non autorizzati avevano interessato 12 utenti, con possibile consultazione della scheda anamnestica per un solo interessato. La Società ha inoltre rappresentato di avere successivamente adottato misure di contenimento e di aver comunicato la violazione agli interessati.

Parallelamente, a seguito di reclamo e segnalazioni, l’Ufficio ha svolto approfondimenti sui trattamenti di dati personali, anche relativi alla salute, effettuati nell’ambito dei servizi online per i test Sars-Cov-2 e la somministrazione dei vaccini anti Covid-19. È emerso che i modelli informativi utilizzati presentavano indicazioni contrastanti circa il titolare del trattamento, ora individuato nella Regione, ora in SO.RE.SA.

Individuazione del titolare e contraddizioni nelle informative

Il Garante ha rilevato che la violazione non era riconducibile ai trattamenti rientranti nel perimetro di titolarità di SO.RE.SA., ma riguardava trattamenti afferenti a iniziative di sanità pubblica connesse alla campagna vaccinale anti Covid-19, da ricondurre alla Regione Campania. La non corretta attribuzione della titolarità e dei relativi compiti ha inciso anche sulle informazioni rese agli interessati, risultate contraddittorie.

La Regione ha richiamato il decreto commissariale n. 26 del 22.2.2019 e successivamente la delibera di Giunta n. 480 del 4 novembre 2021, con cui sono stati ridefiniti i ruoli di titolare e responsabile del trattamento tra Regione Campania e SO.RE.SA. Il Garante ha preso atto di tale successiva ridefinizione, ma ha comunque ritenuto sussistente la violazione per il periodo considerato.

Sicurezza del trattamento e riservatezza dei dati

L’Autorità ha accertato che la piattaforma di prenotazione/adesione consentiva, per un periodo limitato, di ottenere informazioni circa l’adesione vaccinale di un assistito semplicemente inserendo il codice fiscale e una stringa di 20 cifre, anche non corrispondente alla tessera sanitaria. In un caso, l’API restituiva in formato JSON dati ulteriori, tra cui identificativi e stato della richiesta vaccinale.

Il Garante ha ritenuto tali modalità di accesso non conformi all’art. 5, par. 1, lett. f), e all’art. 32 GDPR, poiché inadeguate a garantire su base permanente la riservatezza di informazioni anche relative allo stato di salute. È stata inoltre riscontrata la violazione dell’art. 25 GDPR, in quanto, nella fase di progettazione e durante l’uso dell’applicazione, non erano state adottate misure tecniche idonee a integrare i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Valutazione delle misure adottate successivamente

La Regione ha rappresentato di aver:

• ripristinato il livello di controllo originariamente previsto;
• modificato il messaggio di errore per evitare la diffusione di informazioni sull’interessato;
• modificato le API affinché non restituissero dati direttamente o indirettamente riconducibili all’interessato;
• avviato o pianificato penetration test e vulnerability assessment, con elaborazione di un remediation plan.

Il Garante ha preso atto delle misure correttive, ma ha ritenuto che esse non elidessero le violazioni già consumate, né superassero i rilievi mossi in avvio del procedimento.

Violazione degli obblighi di notifica e comunicazione del data breach

Il provvedimento afferma che, alla luce della corretta titolarità del trattamento, la Regione Campania ha violato gli obblighi di cui agli artt. 33 e 34 GDPR. La violazione dei dati personali era stata inizialmente portata all’attenzione dell’Autorità e degli interessati da SO.RE.SA. come se fosse autonomo titolare, mentre il trattamento ricadeva nella sfera di competenza della Regione.

Quanto alla comunicazione agli interessati, la Regione ha successivamente prodotto copia delle comunicazioni inviate. Tuttavia il Garante ha ritenuto comunque integrata la violazione, anche in ragione dell’iniziale errata imputazione dei ruoli e della conseguente gestione non corretta del data breach.

Norme richiamate e qualificazione dell’illecito

L’Autorità richiama in particolare:

• art. 5, par. 1, lett. a) e f), GDPR, su liceità/correttezza/trasparenza e integrità/riservatezza;
• art. 25 GDPR, su privacy by design e by default;
• art. 32 GDPR, su misure di sicurezza;
• artt. 33 e 34 GDPR, su notifica e comunicazione della violazione;
• art. 83, par. 4, lett. a), e par. 5, lett. a), GDPR, per la sanzione amministrativa.

Il Garante ha evidenziato che i dati coinvolti erano, almeno in parte, dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR e del considerando 35.

Sanzione, criteri di quantificazione e pubblicazione

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• il numero contenuto di interessati coinvolti;
• la presenza, per un solo interessato, di dati sanitari di dettaglio nella scheda anamnestica;
• l’adozione di misure tecniche successive per prevenire il ripetersi dell’evento;
• il contesto emergenziale pandemico;
• la collaborazione della Regione durante l’istruttoria;
• l’intervenuta modifica della disciplina regionale sui ruoli privacy e delle informative.

Valutati tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di € 10.000 per la violazione degli artt. 5, par. 1, lett. a) e f), 25, 32, 33 e 34 GDPR. È stata inoltre disposta, ai sensi dell’art. 166, comma 7, del Codice privacy, la pubblicazione integrale del provvedimento sul sito del Garante.

Esito finale

Il Garante ha dichiarato l’illiceità del trattamento di dati personali effettuato dalla Regione Campania e ha ordinato il pagamento della sanzione, con facoltà di definizione agevolata nei termini di legge. Resta proponibile ricorso all’autorità giudiziaria ordinaria nei termini indicati dal provvedimento.