Prescrizioni del Garante del 13/02/2025

ASL 1 Avezzano Sulmona L’Aquila: ammonimento per data breach ransomware con esfiltrazione di dati sanitari

Il provvedimento riguarda la ASL 1 Avezzano Sulmona L’Aquila, destinataria di un ammonimento per un grave attacco informatico di tipo ransomware che ha coinvolto sistemi sanitari e amministrativi, con cifratura dei dati e successiva esfiltrazione di informazioni anche sensibili. Il procedimento nasce da una notifica di violazione ex art. 33 GDPR, da richieste istruttorie dell’Autorità e da un’attività ispettiva, oltre che dal precedente provvedimento dell’8 giugno 2023 sulla comunicazione agli interessati.

Origine del procedimento e ricostruzione del fatto

L’Azienda ha notificato al Garante una violazione dei dati personali collegata a un attacco del gruppo hacker denominato "MONTI", che avrebbe impiegato un ransomware sofisticato capace di bypassare misure ordinarie di sicurezza, eseguire movimenti laterali ed esfiltrare dati. Dalla documentazione acquisita emerge che l’attacco ha colpito i principali sistemi informatici, con cifratura dei server virtuali e pubblicazione temporanea sul dark web di circa 389 GB di dati riconducibili alla ASL.

L’Azienda ha ricostruito l’attacco come iniziato con una e-mail di phishing e preceduto da attività di user enumeration, brute forcing e autenticazioni riuscite su alcune utenze. È stata ritenuta plausibile una compromissione del server Exchange tramite tecnica OWASSRF, anche se i log non consentivano di affermare con certezza lo sfruttamento di tutte le vulnerabilità indicate. L’attacco ha determinato l’isolamento della ASL da internet per circa una settimana, necessario a consentire analisi, bonifica e ripristino.

Ambito dei trattamenti e categorie di dati coinvolti

Secondo quanto dichiarato dall’Azienda, la violazione ha interessato tutti i trattamenti effettuati su supporto informatico, eccetto quelli relativi ai sistemi RIS-PACS di radiologia. I trattamenti coinvolti corrisponderebbero a circa il 50% dei 551 trattamenti censiti nel registro, mentre quelli con esfiltrazione sarebbero 19.

I dati coinvolti comprendevano:

• dati anagrafici e di contatto;
• dati di accesso e identificazione;
• dati di pagamento e documenti di riconoscimento;
• dati relativi all’appartenenza sindacale;
• dati relativi a condanne penali e reati;
• dati che rivelano origine razziale o etnica;
• dati relativi alla vita sessuale e all’orientamento sessuale;
• dati genetici;
• dati sulla salute, tra cui schede paziente, diario clinico, terapie, diagnosi e lettere di dimissione.

Il numero complessivo degli interessati coinvolti era stato quantificato in 10.631 soggetti, tra dipendenti/consulenti e assistiti/pazienti/minori o persone vulnerabili.

Misure di sicurezza dichiarate e criticità riscontrate

L’Azienda ha descritto una serie articolata di misure preesistenti e di iniziative di rafforzamento: regolamenti interni, formazione privacy e cybersecurity, firewall, antimalware, VPN, backup multipli, canali cifrati, policy di least privilege, gestione centralizzata degli aggiornamenti, vulnerability assessment e penetration test, oltre a un progetto di segmentazione della rete e servizi di security management.

Nel corso dell’istruttoria è emerso tuttavia che:

• gli strumenti disponibili registravano gli eventi ma non ne consentivano la correlazione;
• il SOC non era configurato in modo esteso o con capacità pienamente efficaci di blocco;
• la parte di infrastruttura colpita era ancora "flat" e non sufficientemente segmentata;
• un account associato a un consulente non più operativo risultava ancora utilizzabile;
• l’attacco ha sfruttato una e-mail di phishing e movimenti laterali difficili da rilevare.

Il Garante conclude che, al momento del breach, non erano state adottate misure adeguate a garantire un livello di sicurezza conforme all’art. 32 GDPR, in particolare con riferimento alla tempestiva individuazione dell’incidente, alla segregazione delle reti e alla resilienza dei sistemi.

Comunicazione della violazione agli interessati

Un profilo centrale del provvedimento riguarda la comunicazione agli interessati. Già con il provvedimento n. 255 dell’8 giugno 2023 il Garante aveva ordinato alla ASL di effettuare una comunicazione individuale, ritenendo insufficiente la sola pubblicazione di comunicati sul sito istituzionale.

Nel provvedimento del 2025 l’Autorità ribadisce che la violazione presentava un rischio elevato per i diritti e le libertà degli interessati, per la natura dei dati coinvolti, la presenza di categorie vulnerabili e la possibile persistenza delle conseguenze pregiudizievoli. La modalità inizialmente adottata dall’Azienda non viene considerata idonea a garantire una comunicazione efficace a tutti gli interessati, né è stata provata la sussistenza di uno sforzo sproporzionato tale da giustificare una comunicazione pubblica alternativa ai sensi dell’art. 34, par. 3, lett. c), GDPR.

Il Garante valorizza inoltre il fatto che gli interessati avrebbero dovuto poter adottare tempestivamente precauzioni adeguate rispetto alla specifica natura dei dati esposti, inclusi i dati sanitari.

Valutazione complessiva del Garante

L’Autorità richiama il quadro normativo di riferimento:

• art. 5, par. 1, lett. a) e f), GDPR, su liceità/correttezza/trasparenza e integrità/riservatezza;
• art. 12 GDPR, sulle modalità di informazione all’interessato;
• art. 32 GDPR, sulla sicurezza del trattamento;
• art. 34 GDPR, sulla comunicazione della violazione agli interessati;
• le Linee guida EDPB 9/2022 sulla notifica dei data breach;
• il considerando 87 GDPR, sulla verifica delle misure tecniche e organizzative e sulla tempestiva individuazione delle violazioni.

Pur ritenendo integrata l’illiceità del trattamento, il Garante apprezza alcuni elementi difensivi e successivi interventi dell’Azienda: la natura dolosa dell’attacco, la collaborazione costante con l’Autorità e con le forze competenti, l’assenza di precedenti sanzionatori pertinenti, le misure di contenimento e ripristino, e gli investimenti successivi in cybersecurity e migrazione verso architetture cloud/PSN.

Esito: ammonimento e annotazione interna

L’Autorità qualifica il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative pecuniarie. In luogo della sanzione pecuniaria, ritiene sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR per la violazione degli artt. 5, par. 1, lett. a) e f), 12, 32 e 34 GDPR.

Il dispositivo finale dispone inoltre l’annotazione della violazione nel registro interno del Garante ai sensi del Regolamento n. 1/2019. È prevista la pubblicazione del provvedimento sul sito dell’Autorità, mentre resta esperibile opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.