Azienda Sanitaria Locale di Matera
Ordinanza ingiunzione
Sintesi del provvedimento
L'Azienda Sanitaria Locale di Matera è stata vittima di un attacco informatico ad opera del gruppo Rhysida, che ha comportato l'esfiltrazione di dati personali di 95.362 interessati. La violazione ha interessato dati anagrafici, di contatto, relativi a condanne penali e reati, documenti di identificazione, ubicazione, origine razziale o etnica e dati sulla salute. Il Garante accerta violazione degli articoli 5 par. 1 lett. f) (integrità e riservatezza) e 32 (sicurezza del trattamento) del Regolamento per l'inadeguatezza delle misure tecniche e organizzative nel rilevare tempestivamente le violazioni e garantire la sicurezza dei sistemi. Irrogata sanzione amministrativa pecuniaria di € 8.600,00 con pubblicazione sul sito web del Garante.
Approfondimento
Soggetti coinvolti
101.02.00
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione della sicurezza dei dati personali mediante attacco informatico ransomware; data breach e esfiltrazione di dati personali; inadeguatezza delle misure tecniche e organizzative per rilevare tempestivamente le violazioni; mancato rispetto dei principi di integrità e riservatezza dei dati
Conseguenze — Il Garante accerta l'illiceità del trattamento effettuato dall'Azienda Sanitaria Locale di Matera per violazione degli articoli 5 par. 1 lett. f) e 32 del Regolamento. Ordina e ingiunge al soggetto destinatario il pagamento di € 8.600,00 a titolo di sanzione amministrativa pecuniaria entro 30 giorni dalla notificazione, pena l'adozione di conseguenti atti esecutivi. Dispone la pubblicazione dell'ordinanza-ingiunzione sul sito internet del Garante. Consente la definizione della controversia mediante pagamento della metà della sanzione irrogata entro il termine previsto per il ricorso.
Elevato numero di interessati (95.362); categoria di dati particolarmente sensibili (dati sulla salute, dati anagrafici, dati di contatto, dati relativi a condanne penali e reati, documenti di identificazione, dati di ubicazione, dati sulla razza o origine etnica); carattere non intenzionale della violazione (determinato da comportamento doloso di soggetto terzo malintenzionato); tempestiva notifica di violazione da parte dell'Azienda ai sensi dell'art. 33 GDPR; adozione di misure volte a limitare la ripetizione dell'evento; collaborazione estesa con l'Autorità oltre l'obbligo previsto dall'art. 31 GDPR; livello di gravità alto della violazione commessa
L'attacco informatico ha comportato l'esfiltrazione di 600 GB di dati dal server virtuale dedicato al file sharing. L'analisi dei dati esfiltrati è stata effettuata mediante ricostruzione della struttura gerarchica con script Python e ricerche per parole chiave a causa della criptazione in atto. L'incidente ha interessato anche le reti e i servizi delle aziende sanitarie della regione Basilicata tramite la rete RUPAR e vulnerabilità del sistema RIS-PACS.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.