Ordinanza ingiunzione o revoca n. 195 del 21/03/2024

Azienda sanitaria locale Roma 3: omessa notifica e insufficiente documentazione di un data breach ransomware

Il provvedimento riguarda l’Azienda sanitaria locale Roma 3, destinataria di una sanzione amministrativa pecuniaria per la mancata notifica al Garante e la mancata adeguata documentazione di una violazione dei dati personali connessa a un attacco ransomware ai sistemi gestiti da LAZIOcrea S.p.a. L’episodio ha interessato servizi e applicativi utilizzati dall’Azienda per trattamenti di dati relativi alla salute.

Origine del procedimento e contesto fattuale

L’istruttoria è stata avviata a seguito di notizie stampa e delle notifiche di violazione trasmesse dalla Regione Lazio e dal Consiglio regionale. L’Autorità ha acquisito informazioni da LAZIOcrea, ha svolto attività ispettive e ha chiesto ulteriori elementi a diversi titolari del trattamento coinvolti, tra cui l’Azienda sanitaria locale Roma 3.

L’attacco informatico è stato ricostruito come un incidente di tipo ransomware che ha colpito i sistemi del data center regionale. LAZIOcrea ha rappresentato che l’accesso iniziale sarebbe avvenuto tramite la compromissione di credenziali di un dipendente utilizzate per l’accesso da remoto via VPN e che, sfruttando vulnerabilità di un server con software obsoleto, i soggetti malintenzionati avrebbero ottenuto credenziali con privilegi amministrativi. La Società ha anche riferito che, allo stato delle analisi, non risultavano evidenze di esfiltrazione dei dati.

Misure di sicurezza esistenti e risposta all’incidente

LAZIOcrea ha dichiarato che il data center e le procedure aziendali per la sicurezza e la protezione dei dati erano certificati ISO 27001. Ha inoltre descritto le misure tecniche e organizzative in essere al momento dell’incidente: autenticazione tramite Active Directory, password policy differenziate, segregazione dei sistemi e delle reti, presenza di firewall, backup giornalieri, procedura di gestione incidenti e piano di business continuity e disaster recovery.

Dopo l’incidente, la Società ha riferito di aver messo in campo un team di crisi, consulenti esterni per incident response e cyber security, verifiche forensi, bonifica dei sistemi, ripristino progressivo delle applicazioni, uso di ambienti cloud ponte, rafforzamento del monitoraggio, introduzione dell’autenticazione a due fattori, revisione delle password policy, nuovo sistema di backup e riallineamento delle regole di filtering. Alcuni servizi sono stati successivamente erogati in cloud, tra cui il sistema di prenotazione delle prestazioni sanitarie e l’Anagrafe vaccinale regionale.

Posizione dell’Azienda sanitaria locale Roma 3

L’Azienda ha dichiarato di aver chiesto alla Regione Lazio e a LAZIOcrea chiarimenti sull’impatto del data breach, di aver isolato la connettività verso il data center regionale e di aver svolto analisi interne, tutte concluse negativamente quanto a danni o propagazione del malware sui propri sistemi. Ha inoltre indicato di aver attivato comunicazioni agli utenti e un call center alternativo per le prenotazioni.

Nonostante ciò, l’Autorità ha rilevato che l’Azienda, in quanto titolare del trattamento per i propri sistemi e trattamenti coinvolti, non ha effettuato la notifica ex art. 33, par. 1, GDPR. Inoltre, la documentazione prodotta non conteneva elementi sufficienti a dimostrare l’analisi del rischio, gli effetti e le conseguenze della violazione, né il ragionamento alla base della decisione di non notificare. È stata quindi contestata anche la violazione dell’art. 33, par. 5, GDPR.

Quadro normativo richiamato

Il Garante ha richiamato, in particolare:

• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 33 GDPR, in materia di notifica della violazione all’autorità di controllo e documentazione della stessa;
• l’art. 4, par. 1, n. 15, GDPR e il considerando 35, per la nozione di dati relativi alla salute;
• le Linee guida EDPB 9/2022 sulla notifica delle violazioni dei dati personali;
• le Linee guida EDPB 01/2021 con esempi di violazioni, incluse quelle da ransomware;
• l’art. 58, par. 2, lett. i), e l’art. 83 GDPR, per il potere sanzionatorio;
• l’art. 166 del Codice privacy e l’art. 17 del Regolamento n. 1/2019 del Garante.

Il Garante ha evidenziato che nei casi di ransomware la violazione può riguardare sia la disponibilità sia, in presenza di intrusione o accesso ai dati, anche la riservatezza, imponendo al titolare di valutare e documentare il rischio caso per caso.

Valutazione dell’illiceità

Secondo il Garante, l’Azienda non ha dimostrato che, con riferimento ai trattamenti di propria competenza, fosse improbabile un rischio per i diritti e le libertà degli interessati. Al contrario, la disponibilità, anche prolungata, di alcuni sistemi utilizzati per dati sulla salute è stata compromessa, e ciò avrebbe richiesto almeno una notifica all’Autorità o, quanto meno, una documentazione adeguata della scelta di non notificare.

L’Autorità ha osservato che la successiva trasmissione di informazioni o richieste di chiarimento alla Regione e a LAZIOcrea non equivale alla notifica prevista dall’art. 33 GDPR. Ha inoltre ritenuto insufficiente la documentazione interna prodotta dall’Azienda, poiché priva di dati chiave sulle conseguenze, sul rischio e sul fondamento delle decisioni adottate.

Sanzione e criteri di quantificazione

Accertata la violazione dell’art. 33, parr. 1 e 5, GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di euro 10.000. Nella quantificazione ha considerato:

• la natura dell’illecito, relativo alla mancata notifica e documentazione di un data breach;
• l’interessamento di dati sulla salute;
• la collaborazione prestata dall’Azienda;
• il contesto emergenziale Covid-19;
• la tardiva e parziale informazione ricevuta dal responsabile del trattamento;
• l’assenza di precedenti rilevanti.

Richiamando le Guidelines 04/2022 sul calcolo delle ammende, il Garante ha qualificato la gravità complessiva come bassa, pur ritenendo necessaria una sanzione effettiva, proporzionata e dissuasiva.

Dispositivo

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato dall’Azienda sanitaria locale Roma 3 per violazione dell’art. 33, parr. 1, 2 e 5, GDPR, nei termini indicati in motivazione;
• ordina il pagamento di euro 10.000 a titolo di sanzione amministrativa pecuniaria;
• precisa la facoltà di definizione agevolata con pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunge il pagamento entro 30 giorni dalla notificazione in caso di mancata definizione;
• dispone la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità;
• indica la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.