Ordinanza ingiunzione o revoca n. 271 del 29/04/2025

Ordine degli Psicologi della Regione Lombardia: sanzione per data breach ransomware e misure di sicurezza inadeguate

Il Garante per la protezione dei dati personali ha concluso un procedimento nei confronti dell’Ordine degli Psicologi della Regione Lombardia, relativo a un attacco ransomware occorso il 3 ottobre 2023 e notificato ai sensi dell’art. 33 GDPR. L’Autorità ha accertato la violazione degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR e ha irrogato una sanzione amministrativa pecuniaria di euro 30.000, disponendo anche la pubblicazione dell’ordinanza ingiunzione.

Origine del procedimento e sviluppo dell’istruttoria

Il caso prende le mosse dalla notifica di data breach del 19 ottobre 2023, integrata il 20 novembre 2023, con cui l’Ordine ha rappresentato di essere stato colpito da un sofisticato attacco ransomware attribuito al gruppo criminale NoEscape. Secondo la ricostruzione fornita, l’attacco ha comportato accesso abusivo alla rete informatica, cifratura di dati, cancellazione dei backup su NAS e successiva esfiltrazione e pubblicazione sul dark web di una parte dei dati. A seguito di richieste istruttorie, l’Ordine ha trasmesso ulteriori informazioni sulle misure tecniche e organizzative adottate prima e dopo l’evento, nonché un report di incidente predisposto da un consulente esterno.

L’Ufficio ha avviato il procedimento sanzionatorio con contestazione ex art. 166, comma 5, del Codice, ipotizzando la mancata adozione di misure adeguate a rilevare tempestivamente le violazioni e a garantire la sicurezza dei dati. L’Ordine ha depositato memoria difensiva e ha svolto audizione, insistendo sull’adeguatezza delle misure esistenti alla luce della Circolare AgID e delle proprie limitate risorse economiche e organizzative.

Trattamenti coinvolti e natura dei dati

Dalla documentazione emerge che la violazione ha interessato circa 15.000 registrazioni di dati personali e circa 3.000 interessati. I dati coinvolti comprendevano:

• dati anagrafici, di contatto e di pagamento;
• documenti di identità e riconoscimento;
• dati coperti da segreto professionale;
• categorie particolari di dati ai sensi dell’art. 9 GDPR e dell’art. 2-sexies del Codice, tra cui dati idonei a rivelare origine razziale o etnica, convinzioni religiose o filosofiche, appartenenza sindacale, vita sessuale, orientamento sessuale e stato di salute;
• dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR e dell’art. 2-octies del Codice.

Particolare rilievo è stato attribuito ai procedimenti disciplinari gestiti dall’Ordine, nei quali erano presenti dati di soggetti vulnerabili, tra cui pazienti e minori. Il Garante ha richiamato i possibili effetti pregiudizievoli della divulgazione: discriminazione, furto d’identità, frodi, danni reputazionali e conseguenze economiche e sociali anche in ambito familiare, scolastico e lavorativo.

Misure preesistenti, misure successive e comunicazione agli interessati

L’Ordine ha dichiarato di avere in essere, al momento della violazione, misure quali firewall, antivirus, autenticazione correttamente configurata e monitorata, backup locali su NAS, backup in cloud, dischi USB custoditi in cassaforte e in banca, nonché connessione VPN ai sistemi dell’Ordine. Dopo l’incidente, ha riferito di aver disabilitato regole di accesso esterno, bloccato le VPN attive, modificato le regole di traffico, cambiato password, ripristinato i sistemi dai backup e successivamente introdotto o pianificato ulteriori misure, tra cui MFA, cifratura degli archivi, nuova segmentazione di rete, nuovi sistemi di backup immutabili, air-gap tra produzione e backup e strumenti di monitoraggio e alert.

Quanto alla comunicazione agli interessati, l’Ordine ha affermato di aver proceduto il 23 novembre 2023 con comunicazioni individuali agli interessati maggiormente esposti al rischio, e con una comunicazione pubblica sul proprio sito per i soggetti non rintracciabili, sostenendo che l’invio individuale avrebbe richiesto uno sforzo sproporzionato. Il Garante dà atto che la comunicazione è stata effettuata, ma il provvedimento si concentra sulle carenze di sicurezza antecedenti all’evento.

Valutazioni del Garante sulla violazione degli artt. 5 e 32 GDPR

L’Autorità ha ritenuto che l’Ordine non avesse adottato misure adeguate a rilevare tempestivamente le anomalie nella rete aziendale. Dalle analisi dei log risultavano tentativi di connessione RDP dall’esterno già dal 30 settembre 2023 e sessioni RDP serali fino al 3 ottobre 2023, ma l’Ordine si è accorto della compromissione solo in seguito a segnalazioni degli utenti e ha compreso la natura del data breach solo il 10 ottobre 2023, dopo un’analisi più approfondita.

Il Garante ha evidenziato che:

• l’adozione delle misure minime indicate da AgID non basta, di per sé, a garantire il rispetto dell’art. 32 GDPR;
• la valutazione deve essere concreta e aggiornata nel tempo, tenendo conto dell’evoluzione del rischio cibernetico;
• la presenza di traffico notturno o festivo, anche se non superiore alla soglia media, poteva costituire un indicatore di rischio che un sistema automatico di alert avrebbe potuto valorizzare;
• i costi di attuazione non possono giustificare il mancato adozione di misure adeguate, ma solo orientare la scelta tra soluzioni equivalenti.

In tale quadro, la mancata predisposizione di sistemi automatizzati di alert, la mancanza di MFA al momento del fatto, l’esposizione di un server con RDP e l’uso di un sistema operativo obsoleto hanno integrato la violazione del principio di integrità e riservatezza e dell’obbligo di sicurezza del trattamento.

Difese dell’Ordine e motivi del rigetto

L’Ordine ha sostenuto di avere adottato misure conformi alla Circolare AgID e di trovarsi nel livello "standard" di sicurezza, adeguato alla propria struttura e alle risorse disponibili. Ha inoltre affermato che l’attacco fosse troppo sofisticato e progressivo per essere intercettato da meccanismi di alert, e che le credenziali esfiltrate dal dark web non fossero quelle usate per accedere ai sistemi interni.

Il Garante ha respinto tali argomentazioni osservando che:

• la conformità alle linee guida AgID non esaurisce gli obblighi di accountability ex GDPR;
• la limitatezza delle risorse economiche non esonera dall’adozione di misure adeguate;
• i meccanismi automatici di monitoraggio e alert sono, nel contesto attuale, misure adeguate allo stato dell’arte;
• la presenza di un server RDP esposto e vulnerabile, unitamente all’assenza di MFA, rendeva possibile l’accesso illecito anche a prescindere dalle credenziali esfiltrate;
• le credenziali del dominio email non bastavano a escludere il rischio di compromissione dei sistemi interni, né a neutralizzare la contestazione.

Quantificazione della sanzione e criteri applicati

Poiché le violazioni degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR sono derivate da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, facendo riferimento alla violazione più grave, punita ai sensi dell’art. 83, par. 5, GDPR. In astratto, il massimo edittale richiamato è stato indicato fino a euro 20.000.000.

Nella concreta determinazione della sanzione, l’Autorità ha considerato:

• l’esistenza di un firewall e di controlli periodici sui log, sebbene non sufficienti;
• la modalità progressiva dell’esfiltrazione, avvenuta di notte e nei giorni festivi, senza superare la soglia media di traffico;
• il fatto che la violazione non abbia compromesso disponibilità e integrità dei dati, ma solo la riservatezza;
• l’elevato numero di dati e interessati coinvolti, con particolare delicatezza delle categorie di dati trattate;
• la natura negligente della condotta del titolare;
• la cooperazione prestata nel corso dell’istruttoria e l’adozione successiva di nuove misure;
• l’assenza di precedenti pertinenti.

Alla luce di tali elementi, il Garante ha determinato la sanzione in euro 30.000, ritenendola effettiva, proporzionata e dissuasiva.

Provvedimenti finali e rimedi

Il Garante ha:

• dichiarato la violazione degli artt. 5, par. 1, lett. f), e 32, par. 1, GDPR;
• ordinato all’Ordine degli Psicologi della Regione Lombardia il pagamento della sanzione di euro 30.000;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà dell’importo entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto il pagamento entro 30 giorni dalla notificazione, in caso di mancata definizione;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno.

È infine richiamata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice e 10 d.lgs. 150/2011.