Data breach dati sanitari: Investigazione e compliance 2026

Categoria particolare e misure dell'art. 32: come cambia il livello di guardia

I dati relativi alla salute rientrano tra le categorie particolari dell'art. 9 GDPR: il loro trattamento richiede una base giuridica specifica e un livello di tutela più alto. Nella pratica questo si traduce in misure tecniche e organizzative previste dall'art. 32, calibrate sul rischio: cifratura dei dati a riposo e in transito, pseudonimizzazione ove compatibile con l'assistenza, controllo degli accessi basato sui ruoli, autenticazione a più fattori, registrazione degli accessi, backup cifrati e periodicamente ripristinati. Quando il rischio è elevato, l'art. 35 impone la valutazione d'impatto (DPIA) prima di avviare il trattamento. La DPIA documenta finalità, categorie di interessati, flussi verso i fornitori, misure applicate e rischi residui; se il rischio residuo resta elevato si attiva la consultazione preventiva dell'art. 36 davanti al Garante. I riferimenti operativi restano ISO/IEC 27001 per i controlli dell'Allegato A, NIST CSF e OWASP ASVS per i portali di prenotazione.

Delimitare l'ampiezza della violazione tra EHR, RIS/PACS, LIS e portali di prenotazione

Prima di qualsiasi adempimento occorre stabilire quali sistemi e quali dati siano realmente coinvolti. Una struttura sanitaria tipica espone più punti: cartella clinica elettronica (EHR), sistema informativo radiologico con archivio immagini (RIS/PACS), sistema di laboratorio (LIS), portale di prenotazione, gestione ambulatoriale e infrastruttura di posta. La ricostruzione parte da una linea temporale costruita su log applicativi, log di autenticazione, tabelle di audit del database, tracce dell'antivirus o dell'EDR e log di rete, integrate con le interfacce HL7 o FHIR e le API degli account di servizio. Va considerato anche l'accesso tramite utenze tecniche condivise tra software clinico e gestione documentale. La delimitazione va condotta su copie e in sola lettura, lasciando i sistemi produttivi attivi per il personale clinico e coordinando l'attività con la direzione sanitaria e il responsabile della protezione dei dati, così che l'accertamento non interrompa diagnosi e terapie in corso.

Conservare l'evidenza forenziale con i sistemi clinici in esercizio

La gestione dell'incidente segue ISO/IEC 27035 e NIST SP 800-61: contenimento, eradicazione, ripristino e documentazione. L'acquisizione rispetta l'ordine di volatilità, partendo da memoria, connessioni attive e sessioni, per poi passare al disco. Si utilizzano write blocker e immagini forensi con hash SHA-256 calcolato all'origine e verificato dopo la copia. Ogni operazione confluisce in un verbale con data, ora, operatore e strumento impiegato, in modo da ricostruire la catena di custodia. Quando un sistema non può essere spento, come un PACS in uso o un reparto di terapia intensiva, si isola il segmento di rete e si procede con un'acquisizione live documentata. L'attività va svolta solo su incarico del titolare, con autorizzazione scritta che definisce perimetro e finalità; l'evidenza resta separata dalla produzione.

Fornitori (art. 28), obblighi NIS2 e contenuto di notifica e comunicazione (artt. 33-34)

Nella sanità il software clinico è quasi sempre fornito da terzi: case produttrici di EHR, gestionali, laboratori esterni e servizi in cloud. L'art. 28 richiede un accordo che definisca oggetto, durata, finalità, misure di sicurezza, eventuali sub-responsabili e assistenza al titolare; in caso di incidente il responsabile del trattamento informa il titolare senza ingiustificato ritardo. Molte strutture sanitarie rientrano tra i soggetti essenziali o importanti della NIS2 (D.Lgs. 138/2024), con obblighi di notifica degli incidenti rilevanti all'ACN e di gestione del rischio. Sul piano privacy la notifica al Garante (art. 33) va inviata entro 72 ore dalla conoscenza dell'evento e indica natura della violazione, categorie e numero approssimativo degli interessati, contatti del DPO, conseguenze probabili e misure adottate; in caso di informazioni incomplete si procede in via graduale. La comunicazione agli interessati (art. 34) è richiesta quando il rischio è elevato e va scritta in linguaggio semplice: cosa è accaduto, quali dati sono coinvolti, quali conseguenze possono derivarne, a chi rivolgersi e quali cautele adottare, evitando toni allarmistici o rassicuranti in modo ingiustificato.

Revisione post-incidente

L'incidente si chiude con una revisione strutturata: aggiornamento del registro delle violazioni previsto dall'art. 33, comma 5, analisi delle cause profonde, adeguamento della DPIA e delle misure, formazione del personale e piano di rimedi con responsabili e scadenze. Per un supporto tecnico documentato e autorizzato è possibile contattare lo staff specializzato oppure consultare le guide interne sul blog.