Data Breach in sanità

WORKSHOP
ANORC PROFESSIONI
DIGITALIZZAZIONE E PRIVACY
LECCE, 14 SETTEMBRE 2018
HOTEL TIZIANO E DEI CONGRESSI | 9:00-16:30
Giovanni Lucatorto
Responsabile Protezione Dati Personali
A.O.U. Policlinico di Bari
Violazione dei dati personali
Cosa fare?

WORKSHOP ANORC PROFESSIONI - DIGITALIZZAZIONE E PRIVACY
LECCE, 14 SETTEMBRE 2018 HOTEL TIZIANO E DEI CONGRESSI | 9:00-16:30
Definizione della violazione dei dati personali (Data breach)
Nella ISO/IEC 27040 (Information technology — Security techniques — Storage security) vi è la
seguente definizione di Data Breach:
«violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la
perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi,
memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione
accessibile al pubblico nella Comunità».

Utilizzo del termine Data breach in sanità
Il DPCM 29 settembre 2015, n. 178 (“Regolamento in materia di Fascicolo Sanitario Elettronico),
ha anticipato uno degli adempimenti introdotti con il GDPR, all’articolo 23, comma 9 del DPCM
viene introdotta l’obbligatorietà degli adempimenti conseguenti a una violazione dei dati
personali che comportino la perdita, la distruzione o la diffusione indebita di dati personali
trattati nel Fascicolo Sanitario Elettronico.
Nella linea guida sul dossier sanitario elettronico (Provvedimento n° 331 del 4 giugno 2015) vi è
«l’obbligo di comunicazione al Garante del verificarsi di una violazione dei dati o di incidenti
informatici (accessi abusivi, azioni di maleware) che pur non avendo un impatto diretto sui dati
stessi, possano comunque esporli a rischi di violazione.» (48 ore)
Per la gestione dei data breach relativi al dossier
il Garante auspicava la presenza di un DPO.

Obbligo di notifica di una violazione dei dati personali all’Autorità di controllo
Art. 33
In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione
all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e,
ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia
improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle
persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è
corredata dei motivi del ritardo. […]

Conseguenze di una violazione dei dati personali (Data breach)
Considerando 85
Una violazione dei dati personali può, se non affrontata in modo adeguato e tempestivo,
provocare danni:
• fisici,
• materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati
personali che li riguardano o limitazione dei loro diritti,
• discriminazione,
• furto o usurpazione d’identità,
• perdite finanziarie,
• pregiudizio alla reputazione,
• perdita di riservatezza dei dati personali protetti da segreto professionale o qualsiasi altro
danno economico o sociale significativo alla persona fisica interessata.

Alcune cause di una violazione dei dati personali (Data breach)
DISTRUZIONE: incendio, danneggiamento fisico deliberato
PERDITA: furto
MODIFICA: errore umano, azione di malware
DIVULGAZIONE NON AUTORIZZATA: invio via email di documenti a
destinatari errati, diffusione online di documenti a seguito di
accesso abusivo
ACCESSO AI DATI PERSONALI TRASMESSI, CONSERVATI O
COMUNQUE TRATTATI: errata configurazione, attacchi informatici

Riprendere il controllo dei dati, semmai lo avessimo perso.
Il principio alla base del GDPR è la protezione dei dati personali.
Tale principio deve muovere le nostre azioni al fine di proteggere i
dati personali degli assistiti i quali affidano la loro vita, denudandosi
non solo letteralmente concedendo nelle mani delle strutture
sanitarie, le loro informazioni più intime, affinchè migliori il loro
stato di salute.

Cosa fare quindi in caso di una
violazione dei dati personali

Esercitazione Data Breach
Un supporto (cd/dvd/cassetta/ecc.) contenente un backup criptato con dati personali viene
perso o rubato.
– Comunicazione al Garante:
No.
– Comunicazione agli interessati:
No
Se i dati del backup sono crittografati con un algoritmo robusto, e la chiave di cifratura
non è compromessa, non è necessario notificare la violazione.
E’ evidente che in caso di violazione, non si deve più utilizzare la stessa chiave per la
cifratura, soprattutto se compromessa. In quest’ultimo caso la notifica diviene necessaria.

Una breve interruzione elettrica del datacenter del titolare del trattamento comporta
l’impossibilità dei clienti di accedere ai propri dati.
Comunicazione al Garante:
No.
Comunicazione agli interessati:
No.
Questa rappresenta la perdita di disponibilità del dato non è una violazione dei dati personali
da notificare, ma solo da annotare su apposito registro ai sensi dell’art. 33, paragrafo 5.

Un’azienda subisce un attacco ransomware che causa la crittografia di tutti i dati. Nessun back-up è disponibile
e i dati non possono essere ripristinati.
Al momento dell’indagine, risulta evidente che l’unico scopo del ransomware era quello di crittografare i dati e
chiedere un riscatto, nessun altro malware è stato rilevato nel sistema. Nessun dato è stato inviato a terzi.
Comunicazione al Garante:
Sì, la notifica è necessaria in caso di potenziali danni ai soggetti interessati, visto che questo attacco comporta una perdita
di disponibilità dei dati.
Comunicazione agli interessati:
Sì, la notifica dipende dalla natura dei dati violati e dal possibile effetto della perdita di disponibilità dei dati, così come
altre probabili conseguenze.
Il backup rappresenta una misura minima con cui poter ripristinare i dati. Pertanto non sarebbe stato necessario effettuare
la notifica di violazione in quanto i dati non sarebbero stati persi. Vi è la necessità di verificare le misure di sicurezza.

CONSIGLI UTILI PER MITIGARE LE CONSEGUENZE DI UN DATA BREACH
In numerosi studi si è accertato che l’anello debole è l’utente il quale deve
essere formato sul tema della data protection, sull’utilizzo dei dispositivi
elettronici, ecc.
I dispositivi elettronici e l’accesso ai dati devono essere configurati seguendo il
principio del least privilege
Aggiornare costantemente i sistemi ed i firmware
Adottare delle procedure per l’invio in sicurezza degli allegati di posta
elettronica attraverso la cifratura con la chiave pubblica del destinatario
Utilizzare l’autenticazione a due fattori
Il GDPR non parla più di misure fisiche…. NON DIMENTICHIAMOLE.

Grazie per l’attenzione.

Data Breach in sanità

Recommended

Recommended

More Related Content

What's hot

What's hot (9)

Similar to Data Breach in sanità

Similar to Data Breach in sanità (20)

More from ANORC - Associazione Nazionale per Operatori e Responsabili della Conservazione Digitale

More from ANORC - Associazione Nazionale per Operatori e Responsabili della Conservazione Digitale (20)

Data Breach in sanità