La ASL 1 Abruzzo (Avezzano-Sulmona-L’Aquila) ha 15 giorni di tempo per comunicare la violazione dei dati personali agli utenti interessati. L’ordine perentorio del Garante per la protezione dei dati personali arriva dopo aver avviato l’istruttoria relativa al data breach subito dall’azienda sanitaria lo scorso 3 maggio. Gli autori dell’attacco informatico sono i cybercriminali del gruppo Monti.
Scarse informazioni agli interessati
La ASL 1 Abruzzo ha confermato il 3 maggio di aver subito un attacco ransomware, rivendicato qualche giorno dopo dal gruppo Monti. I cybercriminali hanno successivamente pubblicato i dati amministrativi dell’azienda, quelli del personale e soprattutto i dati sanitari dei pazienti. La notifica del data breach è stata inviata al Garante della privacy il 5 maggio.
Nel provvedimento dell’autorità è scritto che il gruppo Monti ha pubblicato nel dark web circa 389 GB di dati. Solo dopo la richiesta di informazioni inviata dal Garante, la ASL ha ipotizzato il furto dei dati sanitari e informato gli interessati tramite comunicazione del 18 maggio pubblicata sul sito web.
La normativa sulla privacy prevede l’obbligo di comunicazione del data breach all’interessato senza ingiustificato ritardo. Inoltre l’informazione deve essere differenziata sia nelle modalità che nel contenuto. La ASL 1 Abruzzo ha invece informato gli utenti tramite sito web e una lettera consegnata a mano dagli operatori sanitari. Queste misure non consentono di raggiungere tempestivamente tutti gli interessati.
Il Garante ha pertanto ordinato all’ASL di “comunicare il data breach a tutti gli interessati, senza ritardo e comunque entro 15 giorni, indicando la natura e le possibili conseguenze della violazione, i riferimenti del responsabile della protezione dei dati (RPD) e le misure adottate per porre rimedio alla violazione e attenuarne i possibili effetti negativi“.
La comunicazione dovrà essere inviata individualmente ai pazienti che rientrano nelle categorie di rischio critico e alto, mentre per quelli con rischio medio e basso è possibile predisporre un avviso da diffondere sulla stampa locale, in TV e sui social network.
Ti potrebbe interessare
15 giu 2023