Docplanner Italy S.r.l.
ordinanza ingiunzione per applicazione di sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante ha sanzionato Docplanner Italy per violazione degli articoli 5 e 32 del GDPR in seguito a un attacco ransomware che ha interessato i server della divisione GIPO. Sebbene l'analisi forense abbia evidenziato solo tentativi di esfiltrazione senza conferma di sottrazione effettiva di dati sensibili relativi a pazienti, la Società non aveva implementato adeguate misure tecniche e organizzative di sicurezza, in particolare l'autenticazione multi-fattore per l'accesso VPN.
La mancata implementazione dell'autenticazione multi-fattore per l'accesso remoto costituisce violazione degli obblighi di sicurezza, anche quando altri controlli tecnici siano presenti.
Approfondimento
Soggetti coinvolti
elevato numero di potenziali interessati; dati di pazienti di numerose strutture sanitarie; 26 clienti della Società; 27 collaboratori e ex collaboratori; dati di contatto e fatturazione di clienti e fornitori
Riferimenti normativi
Lettura del caso
Temi affrontati — violazione obblighi di integrità e riservatezza; insufficienza misure di sicurezza
Conseguenze — Docplanner Italy è obbligata a pagare la sanzione di euro 10.000 entro 30 giorni dalla notificazione. L'ordinanza-ingiunzione sarà pubblicata integralmente sul sito web del Garante. È ammessa la definizione stragiudiziale versando la metà della sanzione entro 60 giorni.
- notifica tempestiva della violazione ai sensi dell'art. 33 GDPR
- introduzione di misure correttive finalizzate a evitare la ripetizione dell'evento
- piena collaborazione con l'Autorità in fase istruttoria e ispettiva
- carattere non intenzionale della violazione (comportamento doloso di soggetto terzo)
- mancata conferma di effettiva esfiltrazione di dati nonostante il tentativo, verificato mediante monitoraggio periodico del blog del gruppo attaccante. Elemento di gravità media: elevato numero di potenziali interessati
- categoria sensibile dei dati personali coinvolti (dati sanitari)
L'assenza di autenticazione multi-fattore per accessi VPN rimane una lacuna critica nella sicurezza infrastrutturale, indipendentemente da altre misure presenti.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.