Data breach Garante Privacy alla Asl 1 Abruzzo: 15 giorni per comunicare il data breach agli interessati

A seguito del ransomware che ha colpito la ASL 1 Avezzano Sulmona L’Aquila lo scorso 3 maggio (pare attribuibile alla Gang Hackers Ransomware MONTI) divulgando milioni di dati particolari nel dark web e mettendo in pericolo gli interessati e a serio rischio lo svolgimento delle terapie con il quale sono stati resi pubblici tutti i dati esfiltrati, tra i quali anche quelli del paziente Matteo Messina Denaro, il Garante per la Protezione dei Dati Personali, con il Provvedimento 8 giugno 2023, n. 255, ha fornito precise indicazioni sulle modalità con le quali deve essere effettuata la comunicazione agli interessati.

L’Autorità è venuta a conoscenza, attraverso la notifica di violazione dei dati personali del 5 maggio 2023 dalla ASL 1 Avezzano Sulmona L’Aquila, dell’ attacco rivendicato dal gruppo di hacker che ha utilizzato un sofisticato ransomware progettato per crittografare i dati e richiedere il pagamento in bitcoin per gli strumenti di decrittazione” e della circostanza che nel dark web risultano pubblicati 389 Gigabyte di dati la cui totale riconducibilità all’ASL 1 Abruzzo è in fase di accertamento”.

L’Autorità Garante privacy, a seguito dell’istruttoria avviata, nel rispetto delle altre indagini in corso, dopo il data breach che ha interessato l’Azienda sanitaria abruzzese ritenendo che le misure intraprese dall’Azienda non consentono di informare efficacemente tutti gli interessati, specialmente quelli per cui il rischio è stato valutato come “critico” o “alto”, ha quindi ingiunto all’Azienda di comunicare la violazione subita a tutti gli interessati, senza ritardo e comunque entro 15 giorni, indicando la natura e le possibili conseguenze della violazione, i riferimenti del responsabile della protezione dei dati (RPD) e le misure adottate per porre rimedio alla violazione e attenuarne i possibili effetti negativi.

La comunicazione dovrà essere inviata individualmente agli interessati che rientrano nelle categorie di rischio “critico” e “alto”. Mentre nel caso di rischio “medio” e “basso” l’Asl potrà predisporre un avviso da diffondere sulla stampa locale, in tv e sui social network. La Asl dovrà inoltre notificare al Garante le iniziative intraprese.