Ordinanza ingiunzione o revoca n. 134 del 07/03/2024

Ministero della salute: violazione della sicurezza del trattamento e gestione non conforme di un data breach del NSIS

Il provvedimento riguarda il Ministero della salute, quale titolare dei trattamenti svolti nell’ambito del Nuovo Sistema Informativo Sanitario (NSIS), a seguito di un attacco informatico che ha comportato l’esfiltrazione di credenziali di autenticazione degli utenti. L’istruttoria prende le mosse da una segnalazione interna e da notizie stampa, nonché dal successivo provvedimento del Garante n. 88 del 10 marzo 2022, che aveva già imposto la comunicazione della violazione agli interessati.

Origine dell’istruttoria e fatti accertati

Il Ministero ha comunicato all’Autorità che, in un arco temporale limitato, un attacco informatico aveva consentito l’acquisizione di credenziali di accesso alla piattaforma NSIS. Secondo gli accertamenti, l’operazione sarebbe stata resa possibile dalla compromissione di un application server JBoss vulnerabile e dalla manomissione del codice della pagina di login, in modo da inoltrare in chiaro le credenziali anche verso una URL esterna al perimetro ministeriale.

Il Ministero ha indicato:

• un totale di 1.578 credenziali compromesse;
• il reset forzato delle password degli utenti coinvolti;
• il blocco del servizio di self provisioning;
• l’adozione di un piano di mitigazione, eradication e improvement;
• l’invio di e-mail agli utenti con indicazioni di sicurezza.

Violazioni relative a sicurezza, integrità e protezione by design

Il Garante ha ritenuto violati gli artt. 5, par. 1, lett. f), 32 e 25, par. 1, GDPR, evidenziando che il Ministero non aveva predisposto misure adeguate a garantire riservatezza, integrità, disponibilità e resilienza dei sistemi, né a rilevare tempestivamente la violazione.

In particolare, l’Autorità ha valorizzato:

• la mancata capacità dei sistemi di intercettare autonomamente l’incidente;
• la presenza di configurazioni non adeguate e vulnerabilità note;
• la necessità di rivalutare e aggiornare anche sistemi preesistenti rispetto all’entrata in vigore del GDPR;
• l’insufficiente presidio del principio di protezione dei dati fin dalla progettazione.

Notifica al Garante e documentazione della violazione

Il Ministero non ha effettuato una formale notifica del data breach ai sensi dell’art. 33 GDPR, ritenendo improbabile un rischio per i diritti e le libertà degli interessati. Il Garante ha però escluso che una comunicazione informale potesse equivalere alla notifica prevista dal Regolamento.

È stata inoltre accertata la violazione dell’art. 33, par. 5, GDPR, perché la documentazione prodotta nel corso dell’istruttoria non riportava in modo completo elementi essenziali, tra cui:

• gli effetti e le possibili conseguenze della violazione;
• l’esito della valutazione del rischio;
• il ragionamento alla base della decisione di non notificare il data breach.

Comunicazione agli interessati

Secondo il Garante, la prima e-mail inviata dal Ministero, limitata all’invito a cambiare password, non soddisfaceva l’art. 34 GDPR. La comunicazione agli interessati deve infatti descrivere in modo semplice e chiaro la natura della violazione e informare sugli accorgimenti da adottare per proteggersi da possibili conseguenze negative.

L’Autorità ha ritenuto che, nel caso concreto, il rischio fosse elevato, anche perché le credenziali compromesse potevano essere riutilizzate per l’accesso ad altri servizi online o per l’accesso a dati trattati nel NSIS. La comunicazione completa è stata effettuata solo successivamente, in esecuzione del provvedimento n. 88 del 10 marzo 2022.

Valutazioni del Garante sulla sussistenza del rischio

Nel provvedimento il Garante richiama i criteri di valutazione del rischio di cui ai considerando 75 e 76 GDPR e alle Linee guida del Comitato europeo sulla notifica dei data breach. In particolare, viene sottolineato che:

• la compromissione di credenziali di autenticazione può avere conseguenze persistenti, anche per il riutilizzo di password simili o identiche su altri servizi;
• le credenziali esfiltrate potevano consentire l’accesso al NSIS e, quindi, a ulteriori dati personali;
• la comunicazione agli interessati è una misura utile anche per consentire loro di adottare cautele concrete.

Il Garante ha richiamato anche il fatto che, in presenza di esfiltrazione di credenziali, la comunicazione agli interessati è normalmente raccomandata e, nel caso di password in chiaro, notifica e comunicazione non sono facoltative.

Esito del procedimento e sanzione

Il Garante ha concluso che le difese del Ministero non erano idonee a superare i rilievi formulati. Pur prendendo atto delle misure adottate dopo l’incidente, ha ritenuto che non vi fossero i presupposti per l’archiviazione e ha confermato la violazione di:

• artt. 5, par. 1, lett. f), 25, par. 1 e 32 GDPR;
• artt. 33 e 34 GDPR.

Ai fini sanzionatori sono state considerate separatamente due condotte:

• violazioni di sicurezza e protezione by design: sanzione di 50.000 euro;
• violazioni di notifica, documentazione e comunicazione: sanzione di 50.000 euro.

La sanzione complessiva è stata quindi fissata in 100.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie e impugnazione

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito web, ritenendo sussistenti i presupposti previsti dal Codice privacy e dal regolamento interno dell’Autorità.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria nei termini di legge.