Ordinanza ingiunzione o revoca n. 39 del 24/01/2024

Dedalus Italia S.p.a. - data breach su referti sanitari nel software Dnlab

Il provvedimento riguarda Dedalus Italia S.p.a., responsabile del trattamento per l’Ospedale Pediatrico Bambino Gesù, in relazione a un malfunzionamento del sistema di integrazione del software Dnlab che ha causato la visualizzazione di referti di pazienti diversi da quelli corretti. Il procedimento origina da una notifica di violazione ai sensi dell’art. 33 GDPR presentata dal titolare del trattamento.

Fatti e svolgimento dell’istruttoria

L’Ospedale pediatrico ha segnalato che, tramite il portale dedicato ai referti, alcuni pazienti avevano potuto accedere a referti altrui. L’evento è stato ricondotto a un bug nella componente di integrazione del software fornito da Dedalus, che inviava al middleware dell’ospedale messaggi HL7 con un identificativo paziente non coerente rispetto al contenuto del referto. La propagazione del dato errato negli applicativi integrati ha determinato l’associazione di referti a pazienti sbagliati.

Nel corso dell’istruttoria il titolare e il responsabile hanno fornito chiarimenti tecnici e organizzativi, descrivendo le misure adottate per contenere l’evento, correggere la vulnerabilità e ridurre gli effetti negativi sugli interessati. Il titolare ha anche comunicato di avere informato gli interessati senza ingiustificato ritardo e di avere contattato telefonicamente alcuni soggetti coinvolti per supporto ulteriore.

Qualificazione del trattamento e norme richiamate

Il Garante ha qualificato i dati coinvolti come dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, evidenziando la particolare protezione dovuta a tale categoria di dati. Ha richiamato altresì:

• l’art. 28 GDPR, sulla figura del responsabile del trattamento;
• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 32, par. 1, lett. b) e d), GDPR, sulle misure di sicurezza e sulle verifiche periodiche;
• l’art. 9 GDPR, con riferimento alla comunicazione dei dati relativi alla salute unicamente all’interessato o a terzi muniti di idoneo presupposto giuridico.

Valutazione della responsabilità del responsabile del trattamento

Il Garante ha respinto la tesi difensiva di Dedalus, secondo cui la soluzione Dnlab risiedeva interamente nell’ambiente di produzione del titolare e non sarebbe stato possibile svolgere autonomamente vulnerability assessment. Secondo l’Autorità, proprio la connessione funzionale tra il software del fornitore e il sistema del titolare, unita alla competenza tecnica richiesta al responsabile, imponeva l’adozione di misure adeguate e di verifiche periodiche, anche in conformità all’atto di nomina che richiedeva l’adozione delle misure dell’art. 32 GDPR.

Violazioni accertate

L’Autorità ha ritenuto integrata una trattazione illecita dei dati personali, in particolare perché:

• il trattamento non era conforme al principio di integrità e riservatezza;
• non erano state predisposte misure tecniche e organizzative adeguate al rischio, né procedure di test, verifica e valutazione regolare dell’efficacia delle misure;
• erano stati comunicati dati sanitari di 6 pazienti a 6 soggetti non autorizzati, senza base giuridica.

Il Garante ha inoltre rilevato che l’evento aveva determinato anche l’indisponibilità di referti per 8 pazienti.

Attenuanti e assenza di misure correttive

Ai fini della decisione, il Garante ha considerato che:

• la violazione aveva durata limitata;
• non risultavano reclami o segnalazioni all’Autorità oltre alla notifica iniziale;
• non emergevano utilizzazioni ulteriori o diffusione dei dati illegittimamente visionati;
• non vi erano evidenze di danni fisici, materiali o immateriali;
• non risultava un comportamento doloso;
• il responsabile aveva cooperato per la risoluzione del problema.

Poiché la vulnerabilità era stata rimossa e erano già state adottate misure idonee a superarla, il Garante ha ritenuto non necessari ulteriori provvedimenti correttivi ex art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

La violazione è stata ricondotta agli artt. 5, par. 1, lett. f), 9 e 32 GDPR ed è stata sanzionata ai sensi dell’art. 83, par. 4 e 5, GDPR. Poiché si trattava di un’unica condotta, si è applicato l’art. 83, par. 3, GDPR, con riferimento alla violazione più grave, individuata in quella dell’art. 9 GDPR.

Nella quantificazione della sanzione il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la natura particolare dei dati trattati, cioè dati relativi alla salute;
• la durata della violazione, pari a 4 giorni;
• il numero degli interessati coinvolti;
• l’assenza di dolo;
• l’assenza di contestazioni su danni subiti;
• la circostanza che l’Autorità è venuta a conoscenza dell’evento tramite notifica;
• la presenza di un precedente procedimento pertinente a carico del responsabile.

Ha quindi irrogato una sanzione pecuniaria di euro 8.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo finale

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato da Dedalus Italia S.p.a. per violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 8.000;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• ingiunto il pagamento entro 30 giorni dalla notificazione, in mancanza di definizione;
• disposto la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno.

Impugnazione

Contro il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.