American Heart of Poland: attacco hacker per carenze nell'analisi del rischio

Sintesi della decisione

Un attacco informatico ha permesso l'accesso non autorizzato ai dati personali di circa 21.000 persone, tra pazienti e dipendenti di una società del settore medico, inclusi dati sanitari, numeri di conto bancario e codici PESEL. L'autorità polacca ha rilevato che l'analisi del rischio era solo formale e non valutava correttamente le minacce, che i dati sanitari erano archiviati su unità di rete invece che su un sistema dedicato, che alcuni server non ricevevano più aggiornamenti dal produttore e che la protezione contro il phishing era insufficiente. Sono state violate le norme del GDPR sui principi del trattamento, sulla responsabilità del titolare e sulla sicurezza del trattamento (artt. 5, 24 e 32). L'autorità ha inflitto una sanzione amministrativa e ha ordinato di conformare i trattamenti alle disposizioni del GDPR.