Quando dati sanitari dei clienti finiscono nel dark web a seguito di un attacco a strutture ospedaliere, lo studio legale che tratta quei dati come titolare o responsabile del trattamento deve valutare se sussiste un obbligo autonomo di notifica al Garante entro 72 ore ex art. 33 GDPR. Il GDPR da solo non copre lo scenario in cui la violazione origina da un soggetto terzo: lo studio deve dotarsi di procedure di incident response che includano la verifica sui circuiti di threat intelligence. Ignorare l’evento perché ‘la colpa è dell’ospedale’ espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo.
Punti chiave
- Punto 1 — La notifica al Garante entro 72 ore scatta anche se la violazione origina da terzi, se i dati trattati dallo studio sono coinvolti.
- Punto 2 — I dati sanitari sono categoria speciale ex art. 9 GDPR: ogni trattamento senza base legale esplicita è illecito e aggrava le sanzioni.
- Punto 3 — Lo studio deve aggiornare il registro dei trattamenti e il DPA con i fornitori sanitari per coprire il rischio dark web.
Se uno studio legale tratta dati sanitari dei propri clienti — referti, cartelle, certificati — e quegli stessi dati compaiono in una sottrazione massiva finita nel dark web, il problema non è solo dell’ospedale. Il titolare del trattamento che ha ricevuto e conservato quei documenti deve verificare in autonomia se la propria copia dei dati è stata compromessa e, se sì, notificare l’evento al Garante entro 72 ore dalla conoscenza, ai sensi dell’art. 33 del Regolamento UE 2016/679.
La notizia di fondo è che le cartelle cliniche italiane transitano sempre più frequentemente in mercati underground del dark web, spesso dopo attacchi ransomware a strutture del SSN. Lo segnala un’analisi pubblicata su Diritto.it, che evidenzia come gli strumenti sanzionatori del GDPR mostrino limiti strutturali di fronte a violazioni che attraversano giurisdizioni multiple e infrastrutture criminali non tracciabili.
Il contesto normativo
Il GDPR classifica i dati relativi alla salute come categoria particolare ai sensi dell’art. 9, par. 1, con divieto di trattamento salvo eccezioni tassative. L’art. 32 impone misure tecniche e organizzative adeguate al rischio, e la pseudonimizzazione è citata espressamente come misura raccomandata. In caso di violazione, l’art. 33 obbliga il titolare a notificare il Garante entro 72 ore, mentre l’art. 34 impone la comunicazione all’interessato quando la violazione è suscettibile di causare un rischio elevato per i suoi diritti.
Sul piano sanzionatorio, il Garante italiano ha già irrogato sanzioni milionarie: con il provvedimento del 22 giugno 2023 nei confronti di una ASL, ha applicato una sanzione di 75.000 euro per una violazione di dati sanitari con notifica tardiva, richiamando espressamente la mancanza di misure preventive adeguate. Le sanzioni massime per violazione degli articoli sulla sicurezza raggiungono 10 milioni di euro o il 2% del fatturato mondiale annuo, la soglia più alta.
Cosa cambia per lo studio
- Rivedere subito il registro dei trattamenti ex art. 30 GDPR: se lo studio conserva anche una sola copia di referto o cartella clinica del cliente, quel flusso deve essere mappato con le misure di sicurezza adottate e i tempi di conservazione.
- Inserire nel contratto con ogni fornitore sanitario una clausola di Data Processing Agreement aggiornata che preveda notifica immediata allo studio in caso di breach, con termine inferiore alle 72 ore per consentire la catena di notifiche al Garante.
- Attivare un monitoraggio minimo di threat intelligence: esistono servizi gratuiti e a pagamento (es. Have I Been Pwned for Enterprise, DeHashed) che consentono di verificare se le e-mail o i domini dello studio compaiono in database compromessi circolanti online.
- Aggiornare il documento di valutazione del rischio (o redigere una DPIA ex art. 35 GDPR se non ancora effettuata) per includere esplicitamente lo scenario di esfiltrazione da terzi e rivendita nel dark web.
- Formare i collaboratori: la maggior parte delle violazioni secondarie passa da account di posta compromessi. Un protocollo scritto di risposta all’incidente — chi chiama il DPO, chi notifica il Garante, chi avvisa il cliente — vale più di qualsiasi policy generica.
Attenzione a
Il primo errore è aspettare la conferma che i propri dati siano stati effettivamente esfiltrati prima di avviare l’iter di notifica. Il GDPR non richiede la certezza: basta la ragionevole probabilità che si sia verificata una violazione. Ritardare la valutazione per acquisire prove più solide può trasformare un procedimento amministrativo in una sanzione per notifica tardiva, autonoma rispetto alla violazione originaria.
Il secondo rischio è confondere la violazione subita dall’ospedale con l’assenza di responsabilità propria. Se lo studio ha ricevuto quei dati sanitari nell’ambito di un mandato e li ha conservati — anche solo in una cartella e-mail — è titolare del trattamento di quella copia. La responsabilità non si trasferisce automaticamente al soggetto che ha subito l’attacco originario.
Domande frequenti
Lo studio legale deve notificare al Garante se i dati sanitari del cliente sono stati rubati all’ospedale?
Dipende da cosa tratta lo studio. Se lo studio conserva una propria copia di quei dati sanitari — anche solo un referto ricevuto via e-mail — è titolare autonomo del trattamento di quella copia. Se quella copia non è stata compromessa, non scatta l’obbligo di notifica. Ma lo studio deve verificarlo attivamente e documentare la verifica, altrimenti non può escludere il rischio in modo difendibile davanti al Garante.
Quali sanzioni rischia uno studio legale per violazione del GDPR su dati sanitari?
Le violazioni degli obblighi di sicurezza (art. 32) e di notifica (artt. 33-34) possono comportare sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per gli studi individuali o associati il riferimento pratico è il fatturato dello studio. Il Garante ha già applicato sanzioni significative a strutture sanitarie pubbliche anche per sola notifica tardiva, come nel provvedimento del 22 giugno 2023 contro una ASL.
Come faccio a sapere se i dati del mio studio sono finiti nel dark web?
Esistono strumenti di verifica accessibili: Have I Been Pwned (versione gratuita e enterprise), DeHashed e servizi equivalenti permettono di verificare se indirizzi e-mail o domini dello studio compaiono in database di credenziali compromesse. Per un monitoraggio continuativo, alcuni provider di cybersecurity offrono alert automatici. Non è una garanzia assoluta, ma è la misura minima documentabile ai fini del registro dei trattamenti ex art. 30 GDPR.
Fonte di riferimento: Diritto.it