Dalla segnalazione fatta all'Autorità era emerso che chiunque poteva consultare e modificare i dati degli assistiti che si erano registrati al portale. Questa anomalia era stata scoperta per caso da un utente mentre utilizzava i servizi on-line offerti dall'Azienda sanitaria.
Quest’ultimo infatti ha riscontrato che era sufficiente compilare casualmente uno dei campi di ricerca presenti nella sezione dedicata agli assistiti, inserendo anche solo parte di un nome o di un cognome, per consultare tutte le schede anagrafiche risultanti dalla ricerca, nelle quali erano riportati l'indirizzo di residenza, il codice fiscale o il numero di telefono degli assistiti.
Inoltre, è emerso che qualunque utente, senza trovarsi di fronte ad alcun filtro, poteva modificare questi dati o cancellare l'account delle persone che si erano registrate sul sito.
Su tale sito non era presente neppure una procedura di identificazione informatica che consentisse l'individuazione del soggetto richiedente il servizio on line e che limitasse ad esso l'accesso ai dati personali che lo riguardano.
Il Garante della privacy è intervenuto d'urgenza [doc. web n. 4630534] per bloccare la sezione del sito della Asl e fermare la violazione imponendo alla Asl di intervenire entro 48 ore dalla ricezione del provvedimento per risolvere il problemi. In tale provvedimento, il Garante, ha ricordato che le pubbliche amministrazioni che offrono servizi in rete sono obbligate ad adottare misure di sicurezza per ridurre al minimo i rischi di accesso non autorizzato o di trattamenti di dati non consentiti. La Asl ha prontamente adempiuto alla prescrizione, bloccando l'accesso indiscriminato ai dati.
Non sono state ancora accertate le cause dell'errato funzionamento del portale sanitario, che potrebbero essere legate a errori di impostazione o di progettazione informatica del sistema, come pure ad attacchi hacker dall'esterno.
L'Autorità si è riservata di approfondire il caso, ma al contempo ha avviato un autonomo procedimento sanzionatorio contro la Asl per le violazioni riscontrate.
FONTE GARANTE PRIVACY
