Ospedale pediatrico universitario di Białystok: misure di sicurezza inadeguate
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Sanità
- Notizia dell'EDPB
- 25 settembre 2025
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
Un attacco informatico con malware ransomware ha compromesso i sistemi informatici dell'ospedale, bloccando l'accesso e coinvolgendo i dati personali di circa 2000 dipendenti. L'autorità polacca ha rilevato un'analisi dei rischi svolta in modo errato, perché focalizzata sull'organizzazione anziché sulla tutela degli interessati, e non collegata ai trattamenti effettivi. Sono state violate le disposizioni degli articoli 24(1), 25(1) e 32(1,2) del GDPR. L'autorità ha imposto una sanzione amministrativa pecuniaria e un ordine di adeguamento, con l'obbligo di adottare misure tecniche e organizzative appropriate e di verificarne regolarmente l'efficacia entro 60 giorni dalla notifica.
Un'analisi dei rischi efficace deve partire dalla prospettiva degli interessati e collegarsi ai trattamenti concreti, non essere una valutazione generica dei rischi per l'organizzazione.
Casi simili in Italia
- SanzioneAzienda Sanitaria Locale di Matera
Anche in questo caso un attacco ransomware in ambito sanitario ha portato all'esfiltrazione di dati personali, con contestazione delle misure di sicurezza inadeguate.
- SanzioneAzienda USL Modena
Riguarda una azienda sanitaria sanzionata per insufficienti misure di sicurezza e di prevenzione e rilevazione delle violazioni.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of EUR 15 556 for University Children’s Clinical Hospital in Białystok for failing to implement appropriate technical and organisational measures”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.