Prescrizioni del Garante n. 255 del 08/06/2023

ASL 1 Avezzano Sulmona L'Aquila: ordine di comunicazione agli interessati per violazione dati da ransomware

Il Garante interviene a seguito di una violazione dei dati personali notificata dalla ASL 1 Avezzano Sulmona L'Aquila, conseguente a un attacco informatico con ransomware e possibile esfiltrazione di dati. Il provvedimento, adottato in via d'urgenza, riguarda l'obbligo di comunicazione agli interessati ai sensi dell'art. 34 GDPR, ritenuto non adeguatamente assolto dalle misure fin lì intraprese dall'Azienda.

Origine del procedimento e fatti essenziali

L'Autorità apprende del caso tramite notifica di violazione del 5 maggio 2023 ex art. 33 GDPR, nella quale l'Azienda riferisce un attacco del gruppo hacker "MONTI". Secondo la notifica, il ransomware avrebbe criptato i dati richiedendo un pagamento in bitcoin per gli strumenti di decrittazione, mentre nel dark web sarebbero stati pubblicati 389 gigabyte di dati, la cui piena riconducibilità all'ASL era ancora in fase di accertamento.

Con notifica integrativa del 19 maggio 2023, l'Azienda rappresenta di ritenere la violazione suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone fisiche, per la possibile compromissione di dati personali di cui agli artt. 6, 9 e 10 GDPR, e dichiara di aver informato gli interessati mediante pubblicazione di comunicati giornalieri sul sito istituzionale.

Istruttoria e richieste dell'Ufficio

Il 24 maggio 2023 l'Ufficio chiede informazioni sulle iniziative adottate o da adottare per: valutare il rischio per le diverse categorie di interessati; attenuare gli effetti negativi della violazione; informare in modo adeguato e differenziato le varie categorie coinvolte, incluse quelle più vulnerabili. L'Azienda risponde il 31 maggio 2023, illustrando la propria valutazione del rischio e le misure informative e organizzative adottate.

Valutazione del rischio e categorie coinvolte

L'Azienda dichiara di aver individuato quattro livelli di rischio per gli archivi coinvolti: critico, alto, medio e basso, in funzione delle possibili conseguenze per i soggetti interessati. Il Garante richiama i criteri elaborati nelle Linee guida 9/2022 sulla notifica delle violazioni dei dati personali e nelle Linee guida 01/2021 sui casi di violazione, evidenziando che la valutazione deve considerare tipo di violazione, natura e sensibilità dei dati, volume dei dati, facilità di identificazione degli interessati, gravità delle conseguenze, caratteristiche degli interessati, caratteristiche del titolare e numero di soggetti coinvolti.

L'Autorità sottolinea che, nel caso di un attacco ransomware con possibile esfiltrazione, il rischio è elevato perché la violazione incide non solo sulla disponibilità ma anche sulla riservatezza dei dati; la presenza di dati sanitari e di soggetti in condizioni di vulnerabilità o fragilità può aggravare ulteriormente gli impatti, anche in termini di discriminazione, disagio psicologico, umiliazione e danni reputazionali o materiali.

Misure adottate dall'Azienda per attenuare gli effetti della violazione

L'Azienda riferisce di aver attivato una sezione informativa nella home page del portale istituzionale, denominata "ATTACCO HACKER: RESTA INFORMATO", pubblicando comunicazioni sulle iniziative intraprese. Indica inoltre l'attivazione, con disposizione n. 866 del 26 maggio 2023, di Centri di ascolto psicologico in ciascun ambito distrettuale, con locali dedicati, linea telefonica, personale specializzato e apertura programmata per più giorni alla settimana.

Per la comunicazione agli interessati, la ASL dichiara di rispondere alle istanze via email e PEC e di aver predisposto un format di lettera differenziato in base alle categorie di interessati e al profilo di rischio associato, da consegnare brevi manu dagli operatori sanitari al primo contatto utile. Il format, secondo quanto riferito, contiene informazioni sulla violazione, sulle possibili conseguenze, sulle misure di attenuazione, sui contatti del DPO e dei Centri di ascolto.

Valutazioni del Garante sulla comunicazione agli interessati

Il Garante ritiene che le iniziative assunte dall'Azienda abbiano avuto una funzione utile di prima informazione, ma non siano idonee a garantire una comunicazione efficace a tutti gli interessati, in particolare a quelli appartenenti alle categorie a rischio critico. L'Autorità osserva che non è stata dimostrata la sussistenza di uno sforzo sproporzionato tale da giustificare la mancata comunicazione individuale, come richiesto dall'art. 34, par. 3, GDPR.

Viene inoltre evidenziato che la modalità prescelta, fondata sulla consegna della comunicazione al primo contatto utile con l'assistito o con i suoi rappresentanti, non consente di raggiungere tempestivamente gli interessati che non abbiano un contatto diretto con la struttura sanitaria, rimettendo l'informazione all'iniziativa dei singoli.

Prescrizioni impartite e termini di adempimento

Alla luce dell'urgenza e dell'elevato rischio per gli interessati, il Garante ingiunge alla ASL, ai sensi dell'art. 58, par. 2, lett. e), GDPR, di comunicare senza ritardo e comunque entro 15 giorni dalla ricezione del provvedimento la violazione a tutti gli interessati coinvolti e raggiungibili. La comunicazione deve contenere:

• la natura della violazione;
• le possibili conseguenze;
• i contatti del responsabile della protezione dei dati o di altro punto di contatto appositamente istituito;
• le informazioni sulle misure adottate per rimediare alla violazione e attenuarne gli effetti negativi.

La comunicazione deve essere effettuata con modalità rispettose della riservatezza, con priorità per i dati associati a rischio "critico" e "alto". Per gli interessati con rischio inferiore ad "alto", la comunicazione individuale può essere sostituita, in caso di comprovata eccessiva onerosità, da una campagna informativa pubblica da svolgere per almeno due settimane, a giorni alterni, sui due quotidiani più letti della regione, con passaggi televisivi sulle emittenti più seguite e una campagna social mirata. Analoga soluzione può essere modulata per gli interessati irreperibili rientranti nelle fasce di rischio critico e alto.

Il Garante richiede inoltre che tali scelte e le attività conseguenti siano documentate in ossequio al principio di responsabilizzazione.

Ulteriori adempimenti e conseguenze dell'inottemperanza

Ai sensi dell'art. 157 del Codice privacy, la ASL deve fornire all'Autorità, entro 20 giorni dalla ricezione del provvedimento, un riscontro adeguatamente documentato sull'attuazione dell'ordine. È richiamato il fatto che il mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, GDPR.

Il provvedimento ricorda anche che l'inosservanza dell'ordine impartito ai sensi dell'art. 58, par. 2, GDPR è soggetta a sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo se superiore, ai sensi dell'art. 83, par. 6, GDPR. Viene infine disposta l'annotazione del provvedimento nel registro interno dell'Autorità e viene indicata la possibilità di opposizione davanti all'autorità giudiziaria ordinaria entro 30 giorni.

Quadro normativo richiamato

Il provvedimento richiama in particolare:

• gli artt. 33 e 34 GDPR sulla notifica della violazione e sulla comunicazione agli interessati;
• l'art. 58, par. 2, lett. e), GDPR sui poteri correttivi del Garante;
• l'art. 83, parr. 5 e 6, GDPR sulle sanzioni amministrative;
• l'art. 157 del Codice privacy sul riscontro alle richieste dell'Autorità;
• l'art. 2-duodecies, comma 2, del Codice, con riferimento alla disciplina del possibile ritardo o limitazione dell'adempimento in casi specifici;
• gli artt. 75, 76 e 86 GDPR, nonché le Linee guida 9/2022 e 01/2021 del Comitato europeo per la protezione dei dati.