Prescrizioni del Garante n. 556 del 30/11/2023

Ammonimento a C.B. Sistemi s.r.l. per vulnerabilità del portale referti online

Il Garante per la protezione dei dati personali ha esaminato una segnalazione relativa alla piattaforma di refertazione online di Medical Center s.r.l., nella quale un bug consentiva, tramite manipolazione dell’URL, di visualizzare parte del registro eventi associato ad accettazioni di altri utenti. All’esito dell’istruttoria, l’Autorità ha ritenuto responsabile del trattamento C.B. Sistemi s.r.l., società che curava sviluppo e manutenzione del software, e ha concluso per una violazione del principio di integrità e riservatezza e degli obblighi di sicurezza.

Origine della segnalazione e oggetto dell’istruttoria

La segnalazione denunciava che, partendo da un link valido a un referto, la modifica del numero finale dell’indirizzo consentiva di accedere ad alcune informazioni relative ad altri referti e, in particolare, al "Registro eventi", nel quale comparivano i nomi utente di soggetti terzi e la data/ora dei download. L’Autorità ha quindi avviato l’istruttoria nei confronti di Medical Center s.r.l. e, successivamente, di C.B. Sistemi s.r.l., acquisendo memorie difensive, relazioni tecniche e documentazione sul trattamento e sulla gestione dell’incidente.

Ruoli privacy delle società coinvolte

Medical Center s.r.l. ha dichiarato di utilizzare il software e il portale forniti da C.B. Sistemi s.r.l. in base a licenza d’uso e a un contratto di manutenzione e assistenza software. Nel corso del procedimento, la società ha precisato che C.B. Sistemi operava come responsabile del trattamento ai sensi dell’art. 28 GDPR almeno per l’attività di assistenza; in tale contesto, il fornitore avrebbe avuto accesso limitato ai sistemi del cliente solo a richiesta. C.B. Sistemi ha invece sostenuto di non rivestire alcun ruolo nel trattamento durante la semplice manutenzione o sviluppo del software, salvo la fase di assistenza telematica su chiamata.

Dinamica tecnica della vulnerabilità

Secondo quanto emerso, il problema è sorto dopo un aggiornamento evolutivo del portale che ha introdotto la funzionalità di visualizzazione del registro delle operazioni eseguite. La vulnerabilità, già prevista in test iniziali e bloccata in quella fase, non sarebbe stata nuovamente considerata dopo l’aggiornamento, che avrebbe reso possibile la manipolazione dell’URL e l’accesso a dati di accettazioni intestate ad altri utenti. Le difese hanno sostenuto che il segnalante abbia potuto vedere soltanto un nome utente e alcuni dati di log, senza alcun contenuto del referto o della fattura.

Valutazioni del Garante sui dati trattati

L’Autorità ha ribadito che il dato personale comprende qualsiasi informazione relativa a persona fisica identificata o identificabile e che i dati relativi alla salute includono anche la prestazione di assistenza sanitaria che riveli informazioni sullo stato di salute. Nel caso esaminato, ha ritenuto che la possibilità di associare un nome utente a un’accettazione e a un download di documenti sanitari integri un’informazione riconducibile ai dati sulla salute. Ha quindi affermato che il segnalante, quale terzo non autorizzato, ha potuto accedere a dati personali relativi alla salute di un altro interessato.

Violazione degli obblighi di sicurezza

Il Garante ha richiamato gli artt. 5, par. 1, lett. f), e 32 GDPR, sottolineando che titolare e responsabile devono adottare misure tecniche e organizzative adeguate al rischio, nonché procedure di test, verifica e valutazione regolare dell’efficacia delle misure stesse. Nel caso di specie, la nuova funzionalità del portale era stata introdotta senza prevedere adeguatamente la possibilità di alterazione dell’URL da parte di terzi e senza eseguire il relativo test di collaudo. Per questo l’Autorità ha ritenuto che C.B. Sistemi non avesse assicurato un livello di sicurezza adeguato, con conseguente trattamento illecito.

Valutazione della gravità e qualificazione come violazione minore

Pur accertando l’illecito, il Garante ha considerato diversi elementi attenuanti: l’episodio era isolato, privo di dolo, riconducibile a colpa lieve, limitato a un solo interessato, non aveva coinvolto i referti e il responsabile era intervenuto tempestivamente per correggere il bug e prevenire ulteriori accessi. Ha inoltre valorizzato la collaborazione mostrata da C.B. Sistemi durante l’istruttoria e l’assenza di precedenti pertinenti. Su tale base, il caso è stato qualificato come violazione minore ai sensi del considerando 148 GDPR e delle linee guida del Gruppo ex art. 29 in materia di sanzioni amministrative pecuniarie.

Provvedimento finale

In applicazione dell’art. 58, par. 2, lett. b), GDPR, il Garante ha ammonito C.B. Sistemi s.r.l. per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR e ha dichiarato l’illiceità del trattamento effettuato. Non sono state adottate misure correttive ulteriori, poiché la condotta aveva già esaurito i propri effetti. È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019.

Profili processuali

Il provvedimento richiama la possibilità di proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.