Nei mesi scorsi l’Autorità garante per la protezione dei dati personali ha emanato due provvedimenti relativi a due casi di data breach avvenuti nel 2023 e che hanno coinvolto le realtà di Federprivacy e l’ASL 1 Avezzano Sulmona. Si tratta di vicende differenti ma particolarmente rilevanti per le loro peculiarità, specialmente alla luce delle posizioni assunte dal Garante che possono offrire indicazioni utili a chi si troverà a gestire situazioni simili in futuro.
Lo ha confermato l’Avv. Andrea Lisi nel suo nuovo intervento sulla sua Newsletter di Linkedin, Appunti di ICT Law, nella quale ha analizzato le interpretazioni del Garante, sottolineando l’importanza dell’intervento per chi si occupa di data protection.
Le vicende
Il caso dell’ASL 1 riguardava un’esfiltrazione di dati sensibili di alcuni pazienti (inclusi bambini e diversamente abili) pari a 365 gigabyte, poi pubblicati nel dark web, creando uno dei data breach più significativi nel settore sanitario italiano e gestito, almeno inizialmente, in maniera grossolana da parte della PA. La vicenda Federprivacy ha avuto, invece, dimensioni più modeste per via del numero di interessati coinvolti e per tipologia di dati, facendo scalpore solo per le caratteristiche del titolare coinvolto e perché è stato portato avanti dagli hacker a ridosso di un importante congresso annuale organizzato dall’associazione, che ha cooperato con impegno con l’Authority per minimizzare i rischi dell’attacco. Eppure, nei confronti di Federprivacy è stata comunque comminata una sanzione di 6.000 euro, mentre nei confronti dell’ASL 1 si è proceduto con una semplice annotazione, perché le circostanze del caso concreto hanno indotto a qualificare lo stesso come “violazione minore”.
Una posizione che farà scuola
Secondo l’analisi dell’Avv. Andrea Lisi: “Leggendo i due provvedimenti, le violazioni riscontrate dall’Authority sono sostanzialmente le stesse per i due titolari. E allora cosa ha determinato la differenza di trattamento ricevuta da parte dei due titolari? Ho letto e riletto il provvedimento nei confronti dell’ASL 1 e, considerato che senz’altro non può essere stata la marginalità dell’esfiltrazione riscontrata a determinare la scelta del Garante di non sanzionare, (perché 395 gigabyte di dati sanitari restano un’enormità) e considerato che entrambi i titolari non erano stati coinvolti in precedenti provvedimenti sanzionatori, allora la differenza mi sembra di poterla cogliere in questo fondamentale punto del provvedimento del febbraio 2025: “il titolare (ndr. l’ASL 1) ha cooperato con l’Autorità ben oltre l’obbligo previsto dall’art. 31 del Regolamento in ogni fase dell’istruttoria, ivi compresa quella ispettiva, al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi”. Per il futuro, quindi, l’insegnamento da trarre – come pesante precedente – è questo: in caso di databreach, anche disastroso, come quello purtroppo verificatosi nel 2023 in Abruzzo, è fondamentale cooperare con l’Authority, “anche oltre il dovuto”, in modo da cercare di minimizzare (se possibile) i rischi, almeno per ciò che non si sia già determinato a causa di quella pesante violazione. Si tratta a mio avviso di un segnale davvero importante e che ci fa percepire pienamente il ruolo dell’Autorità Garante per la protezione dei dati personali nella ormai piena maturità ed efficacia del GDPR, con i suoi consolidati principi, tra cui quello dell’accountability.”
Per leggere il contenuto completo: