Centro sanitario pubblico: mancata analisi dei rischi dopo ransomware
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Sanità
- Notizia dell'EDPB
- 28 novembre 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
- Ordine di comunicare la violazione agli interessati
Sintesi della decisione
Un attacco hacker con ransomware ha reso inaccessibili i dati di pazienti e dipendenti di un centro sanitario pubblico polacco, senza che ne venisse sottratta copia. L'autorità polacca ha accertato violazioni degli articoli 5, 24, 25, 32 e 34 del GDPR, in particolare per l'assenza di un'analisi dei rischi documentata e per la mancata comunicazione dell'incidente agli interessati. Sono state disposte una sanzione amministrativa, l'adozione di misure tecniche e organizzative entro 30 giorni e l'obbligo di informare gli interessati.
Un'analisi dei rischi documentata e aggiornata è un requisito autonomo: la sola reazione tecnica all'incidente non basta, e la notifica alle autorità non sostituisce la comunicazione agli interessati quando i dati sono compromessi.
Casi simili in Italia
- SanzioneASL Lecce
Sanzione a un'azienda sanitaria italiana per carenze nelle misure di sicurezza organizzative e nella gestione dei dati sensibili di pazienti.
- SanzioneDocplanner Italy S.r.l.
Sanzione per insufficienti misure di sicurezza e violazione di integrità e riservatezza di dati sanitari, con un data breach in ambito sanitario.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: fine of 9 300 € for Independent Public Health Care Centre after hacker attack”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.