Ordinanza ingiunzione o revoca n. 205 del 10/04/2025

Azienda Ospedaliera Universitaria Integrata Verona: sanzione per ransomware e misure di sicurezza inadeguate

Il provvedimento riguarda l’Azienda Ospedaliera Universitaria Integrata Verona, destinataria di una sanzione amministrativa pecuniaria a seguito di un grave attacco ransomware che ha coinvolto sistemi informativi e dati personali, anche appartenenti a categorie particolari. Il procedimento è stato avviato dopo la notifica di data breach ex art. 33 GDPR e approfondito mediante richiesta di informazioni e attività ispettiva.

Origine del procedimento e sviluppo dei fatti

L’Azienda ha comunicato al Garante un accesso abusivo ai propri sistemi e la cifratura di una parte dei dati tramite il ransomware "New Rhysida", con traffico anomalo rilevato sui firewall e un consistente volume di dati potenzialmente esfiltrati. In successive integrazioni, l’Azienda ha riferito che i servizi erano stati ripristinati, che i dati sottratti erano stati pubblicati sul dark web e che una parte dei file recuperati risultava riferibile a dati sanitari e amministrativi.

Nel corso dell’istruttoria è emerso che l’attacco aveva coinvolto cartelle condivise del file server e varie aree aziendali, in particolare direzione amministrativa, provveditorato ed economato, affari generali e area sanitaria. L’Azienda ha precisato che non risultavano coinvolti i trattamenti in cloud, il FSE, il dossier sanitario, i gestionali ospedalieri, il CUP, i sistemi RIS-PACS e quelli di supporto alle analisi di laboratorio e alla medicina trasfusionale.

Dati interessati e portata della violazione

Dalle informazioni acquisite è emerso che la violazione ha riguardato:

• dati anagrafici;
• dati di contatto;
• dati di pagamento;
• dati relativi a condanne penali e reati;
• dati relativi a documenti di identificazione e riconoscimento;
• dati relativi alla salute;
• dati genetici.

Il Garante ha evidenziato che il contesto era particolarmente delicato, poiché i trattamenti riguardavano un numero molto elevato di interessati e includevano dati sulla salute. L’Azienda ha indicato che i pazienti coinvolti nei dati sanitari erano quelli classificati come "rossi" e "non rossi", per un totale di circa 540.000 interessati. È stato inoltre riportato che tra i materiali pubblicati comparivano documenti clinici e amministrativi riferiti anche a un minore.

Misure in essere prima dell’attacco

L’Azienda ha rappresentato di avere già in essere diverse misure tecniche e organizzative, tra cui:

• personale formato e istruito sulla gestione delle misure di sicurezza;
• sensibilizzazione del personale al phishing;
• disciplinare sull’uso delle risorse informatiche;
• procedure aziendali di gestione dei data breach;
• backup e controlli quotidiani sulla loro esecuzione;
• patch management con area di test;
• progetto di segmentazione delle reti;
• procedure di autenticazione con MFA per fornitori e utenti privilegiati;
• formazione del personale, anche su privacy e sicurezza.

Tuttavia, il Garante ha ritenuto che tali misure non fossero sufficienti rispetto al rischio concretamente presentatosi, soprattutto sotto il profilo della rilevazione tempestiva dell’incidente e della protezione della rete contro movimenti laterali dell’attaccante.

Valutazioni del Garante sulle violazioni dell’art. 5, par. 1, lett. f), e dell’art. 32 GDPR

L’Autorità ha ritenuto che il trattamento fosse stato effettuato in violazione dei principi di integrità e riservatezza e degli obblighi di sicurezza del trattamento. In particolare, ha individuato due profili di criticità:

• mancata adozione di misure adeguate a rilevare tempestivamente la violazione dei dati personali;
• mancata adozione di misure adeguate a garantire la sicurezza dei sistemi e delle reti.

Secondo il Garante, alcuni eventi premonitori dell’attacco non erano stati valorizzati come indicatori di compromissione; inoltre, alcuni log non erano disponibili, con conseguente impossibilità di ricostruire compiutamente il punto di ingresso. Quanto alla rete, è stato rilevato che l’autore dell’attacco era riuscito a spostarsi lateralmente tra sistemi e server, segno di una segmentazione incompleta e di una protezione non pienamente adeguata.

Il Garante ha richiamato anche le Linee guida EDPB n. 9/2022, sottolineando che la capacità di individuare, trattare e segnalare tempestivamente una violazione costituisce un aspetto essenziale delle misure di sicurezza ai sensi dell’art. 32 GDPR.

Difese dell’Azienda e circostanze attenuanti considerate

L’Azienda ha sostenuto di trovarsi in un periodo di straordinario impegno organizzativo e tecnologico legato alla pandemia e alla transizione verso un nuovo sistema informativo ospedaliero in cloud, con riorganizzazione di processi e attività. Ha inoltre evidenziato la propria collaborazione con l’Autorità, la tempestiva notifica dell’evento, l’attivazione di contromisure immediate e il rafforzamento successivo delle misure di sicurezza.

Il Garante ha dato atto di tali elementi, considerando anche che l’evento era stato determinato da un comportamento doloso di terzi e che l’Azienda aveva collaborato ampiamente nel corso dell’istruttoria. Tali circostanze, tuttavia, non sono state ritenute sufficienti a escludere l’illecito.

Sanzione, criteri di quantificazione e pubblicazione

La violazione degli artt. 5, par. 1, lett. f), e 32 GDPR è stata ritenuta sanzionabile ai sensi dell’art. 83, par. 4 e 5, GDPR. Nel determinare l’importo, il Garante ha considerato in particolare:

• la natura dei dati coinvolti, soprattutto dati sulla salute e dati genetici;
• l’elevato numero di interessati;
• la gravità del contesto e l’ampiezza dell’incidente;
• la collaborazione del titolare;
• il periodo di forte cambiamento organizzativo e tecnologico in cui l’evento si è verificato.

La sanzione è stata fissata in euro 10.000,00, ritenuta effettiva, proporzionata e dissuasiva. È stata inoltre disposta la pubblicazione dell’ordinanza-ingiunzione sul sito Internet del Garante, nonché l’annotazione nel registro interno dell’Autorità.

Dispositivo e rimedi

Il Garante ha:

• rilevato l’illiceità del trattamento effettuato dall’Azienda;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 10.000,00 entro 30 giorni dalla notifica;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito web dell’Autorità;
• previsto la pubblicazione del provvedimento sul sito del Garante;
• disposto l’annotazione delle violazioni e delle misure adottate nel registro interno.

È stata inoltre richiamata la facoltà di opposizione innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.