L’AQUILA – Il Garante per la privacy ha inviato un’ ingiunzione perentoria alla Asl provinciale dell’Aquila in merito alle informazioni agli utenti in seguito all’attacco hacker che lo scorso 3 maggio ha messo in ginocchio il sistema informatico causando disservizi che ancora oggi non sono stati risolti.
In una nota stampa, il Garante informa di aver ordinato ai vertici aziendali, guidati dal manager, Ferdinando Romano, “di comunicare entro 15 giorni agli interessati il data breach”, cioè la violazione dei dati sensibili, esami medici ed altri documenti sulla salute, trafugati dagli hacker e pubblicati sul dark web e consultati nonostante la legge lo vieti.
Il Garante ha bocciato anche le procedure attuate finora dalla Asl provinciale chiedendo di informare individualmente gli interessati che rientrano nelle categorie di rischio “critico” e “alto”, ed invitando l’Azienda che “nel caso di rischio “medio” e “basso” potrà predisporre un avviso da diffondere sulla stampa locale, in tv e sui social network.
Secondo quanto si è appreso il provvedimento è stato firmato l’8 giugno.
Il Garante avrebbe anche citato una sanzione fino a 20 milioni di euro in caso di mancata attuazione delle prescrizioni. Dopo l’attacco centinaia di cittadini si sono rivolti ai due legali, Marco Colantoni, del Foro dell’Aquila, e Pierluigi D’Amore, del Foro di Avezzano (L’Aquila), facendo prevenire alla Asl provinciale richieste di informazioni sulle violazioni dei loro dati. Successivamente, sono state presentati alla procura della repubblica del capoluogo regionale esposti tesi a conoscere i dati violati considerando la impossibilità, perché si commetterebbe in reato, a verificare sul dark web.
Il contenzioso, che rischia di diventare molto pesante economicamente, è stato avviato dopo che la Asl il 18 maggio scorso ha ammesso l’attacco hacker e la violazione dei dati trafugati dagli hacker. I cittadini in questione si sono rivolti con reclami anche alo stesso Garante.
La Asl, che aveva notificato all’Autorità di aver subito un attacco ransomware, solo dopo una richiesta di informazioni del Garante ha rappresentato il sospetto di esfiltrazione dei dati personali (anche genetici, relativi alla salute e a condanne penali e reati), informando gli interessati tramite la pubblicazione di comunicati sul proprio sito – si legge nella nota del Garante -. Nel caso in cui la violazione presenti un rischio per i diritti e le libertà delle persone, la normativa privacy prevede infatti l’obbligo di comunicazione del data breach all’interessato senza ingiustificato ritardo. L’informazione però deve essere differenziata sia nelle modalità che nel contenuto, in funzione del potenziale lesivo e dei canali a disposizione. Le misure intraprese dall’Azienda non consentono invece – secondo il Garante – di informare efficacemente tutti gli interessati, specialmente quelli per cui il rischio è stato valutato come “critico” o “alto”.
L’Autorità ha quindi ingiunto all’Azienda di comunicare il data breach a tutti gli interessati, senza ritardo e comunque entro 15 giorni, indicando la natura e le possibili conseguenze della violazione, i riferimenti del responsabile della protezione dei dati (RPD) e le misure adottate per porre rimedio alla violazione e attenuarne i possibili effetti negativi”.
Secondo il Garante, “La Asl dovrà inoltre notificare al Garante le iniziative intraprese”, riservandosi “ogni altra decisione al termine dell’istruttoria sul data breach, finalizzata ad approfondire l’accaduto e a definirne le responsabilità”.
