L’AQUILA. La Asl di Avezzano, Sulmona è L’Aquila ha quindici giorni di tempo per chiarire quali siano i dipendenti e i pazienti vittime del furto e della diffusione sul web di dati sensibili da parte degli hacker del gruppo russo “Ransomware Monti”. Lo dice una nota durissima diffusa ieri dal Garante della privacy. Che è una risposta anche a chi ha avviato azioni legali per capire se i propri dati sensibili sono tra i 522 Gigabyte di documenti che i criminali hanno messo alla mercé di chiunque e per cui indagano ancora polizia postale e Agenzia per la cybersicurezza nazionale.
«La Asl, che aveva notificato all’Autorità di aver subito un attacco ransomware, solo dopo una richiesta di informazioni del Garante ha rappresentato il sospetto di esfiltrazione dei dati personali (anche genetici, relativi alla salute e a condanne penali e reati), informando gli interessati tramite la pubblicazione di comunicati sul proprio sito», scrive il Garante, facendo riferimento all’avviso pubblico (e generico) dei giorni scorsi dell’azienda sanitaria. Questo, però, non basta. «Nel caso in cui la violazione presenti un rischio per i diritti e le libertà delle persone, la normativa privacy prevede infatti l’obbligo di comunicazione del data breach all’interessato senza ingiustificato ritardo», aggiunge infatti il Garante, continuando: «L’informazione però deve essere differenziata sia nelle modalità che nel contenuto, in funzione del potenziale lesivo e dei canali a disposizione. Le misure intraprese dall’Azienda non consentono invece di informare efficacemente tutti gli interessati, specialmente quelli per cui il rischio è stato valutato come “critico” o “alto”». Ancora il Garante: «L’Autorità ha quindi ingiunto all’azienda di comunicare il data breach a tutti gli interessati, senza ritardo e comunque entro 15 giorni, indicando la natura e le possibili conseguenze della violazione, i riferimenti del responsabile della protezione dei dati (Rpd) e le misure adottate per porre rimedio alla violazione e attenuarne i possibili effetti negativi. La comunicazione dovrà essere inviata individualmente agli interessati che rientrano nelle categorie di rischio “critico” e “alto”. Mentre nel caso di rischio “medio” e “basso” l’Asl potrà predisporre un avviso da diffondere sulla stampa locale, in tv e sui social network. La Asl dovrà inoltre notificare al Garante le iniziative intraprese. L’Autorità si riserva ogni altra decisione al termine dell’istruttoria sul data breach, finalizzata ad approfondire l’accaduto e a definirne le responsabilità».
Immediata la presa di posizione del consigliere regionale del Movimento 5 Stelle Giorgio Fedele: «Avevamo ragione a richiamare costantemente la Asl 1 ai propri doveri. Non solo sono nette le responsabilità politiche della giunta Marsilio, ma anche quelle dall’azienda ». (l.t.)