VEDI ANCHE Newsletter del 12 novembre 2026

[doc. web n. 10312186]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 754 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e l’avv. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1 Origine dell’istruttoria

L’Autorità ha ricevuto una segnalazione (nota del XX) riguardante le modalità di refertazione on-line e le misure di sicurezza adottate dal Centro Radiologico Madonna della Bruna s.r.l. (di seguito, “Centro”). In particolare, il segnalante ha rappresentato che una volta ricevuto via mail il referto dell’esame effettuato, in formato PDF, ha potuto constatare che “la pagina da cui è possibile visionare il file PDF è un accesso diretto al file del referto, in cui non è effettuata nessuna verifica sull'utenza che sta visionando il file. La violazione nasce dal fatto che l'unico modo in cui viene identificato il file è attraverso un numerato presente nell'URL, avendo quindi il link posso accedere a tutti i referti presenti sul sistema semplicemente cambiando il numero presente nell'URL (in gergo informatico/tecnico è una vulnerabilità IDOR). (…) Il file quindi è tuttora accessibile (nonostante siano passati più di 30 giorni) senza aver effettuato il login sulla loro piattaforma. L’accesso pubblico a questi file è preoccupante perché all'interno sono presenti informazioni sensibili (…), quali: Nome, Cognome, Data di nascita, Codice fiscale e indirizzo del paziente; Anamnesi, dettagli, risultati dell’esame effettuato”.

1.2    Attività svolta

In relazione a quanto rappresentato nella segnalazione, l’Ufficio, al fine di  riscontrare gli elementi messi in rilievo dal segnalante, ha effettuato una preliminare verifica, dalla quale è emerso che, utilizzando i  browser Google Chrome e Microsoft Edge, era possibile accedere liberamente, senza la necessità di superare una procedura di autenticazione informatica, all’indirizzo web (Uniform Resource Locator – URL) indicato dal segnalante e, modificando la sequenza dei numeri finali, era possibile visualizzare documenti contenenti i dati identificativi dei pazienti (nome, cognome, data di nascita, codice fiscale e indirizzo), il referto in chiaro, ivi comprese le date dell’esame e del referto stesso, unitamente, in più casi, ai nominativi del medico refertatore e del tecnico sanitario di radiologia medica.

Nell’ambito dell’attività istruttoria svolta nei confronti del Centro (procedimento avviato con nota del XX, prot. n. XX, e oggetto di separato provvedimento), si è reso necessario chiedere, con nota del XX, prot. n. XX, specifiche informazioni a MedStore Saronno s.r.l., con sede in Saronno (VA), via Giuseppe Garibaldi n. 43, C.F.: 03000070122 (di seguito, “Società”), in qualità di responsabile del trattamento, la quale, con nota del XX, ha dichiarato che:

- la stessa “ha, da tempo, in corso rapporti commerciali con il Centro Radiologico e, in relazione alle forniture di software ad esso effettuate, è stata dalla stessa nominata Responsabile del Trattamento con atto del XX”, stipulando il contratto di manutenzione con il Centro radiologico nel mese di XX;

- “(…), nonostante la scrivente abbia proceduto a prestare (…) tutte le assistenze richieste per assicurare il regolare funzionamento del portale ed evitare l’interruzione del servizio, non veniva effettuato l'aggiornamento alla versione più recente del software (che consente di usufruire delle nuove funzionalità, degli aggiornamenti di sicurezza e delle correzioni di bug più recenti)”. Inoltre “tale aggiornamento, rappresentando una prestazione aggiuntiva e migliorativa rispetto all’ordinaria manutenzione, poteva essere rilasciato solo a seguito della contrattualizzazione del servizio che confermasse la proroga del servizio di manutenzione”;

- “in tale ottica va ricondotta l’affermazione del Centro Radiologico secondo il quale il Portale non era “dotato delle ultime patch di aggiornamento finalizzate principalmente a migliorare la stabilità generale del sistema e usufruire degli aggiornamenti di sicurezza rilasciati periodicamente”. Tale affermazione, infatti, seppure rispondente a veridicità sotto il profilo fattuale, è da leggersi all’interno della situazione sopra descritta nonché nell’ambito delle obbligazioni (non) gravanti su Med Store all’epoca degli eventi”;

- “fermo restando che (…) tra le novità introdotte nella patch di sicurezza, immediatamente attuate, è presente proprio il controllo che impedisce l’accesso al sopraccitato URL in qualunque condizione diversa dal normale utilizzo (dopo l’autenticazione e se l’utente è il “proprietario” del referto), si precisa che l’obbligazione in oggetto non poteva gravare sulla scrivente”;

- “in qualità di responsabile del trattamento compito di Med Store era ed è quello di fornire una soluzione tecnica che rispetti i requisiti di sicurezza e protezione dei dati previsti dalla normativa. La configurazione operativa, l’implementazione di ulteriori moduli (es. XX) sono competenza del titolare del trattamento”;

- “nonostante quanto sopra, appena ricevuta comunicazione dell’evento, abbiamo agito tempestivamente per analizzare e mitigare i rischi. In particolare: abbiamo interrotto l’accesso al server interessato, rendendo i dati temporaneamente inaccessibili; abbiamo immediatamente avviato un’analisi interna per identificare la vulnerabilità, provvedendo all’aggiornamento del sistema già disponibile il giorno seguente che include: il controllo esplicito dell’ownership dei referti, limitando l’accesso esclusivamente all’utente autenticato; la chiusura della possibilità di accesso diretto agli URL, anche attraverso metodi avanzati”;

- “l’aggiornamento è stato installato in tempi ridottissimi e stiamo attualmente collaborando con il Centro Radiologico per accelerare l’attivazione dell’autenticazione a due fattori tramite XX”;

- in relazione alla procedura di accesso al portale per il ritiro dei referti, “per accedere al portale XX è necessaria specifica UserID e Password che viene comunicata con la e-mail trasmessa dal Portale al/alla paziente (qualora abbiano indicato tale modalità di trasmissione) e significante la disponibilità del medesimo; ne consegue che solo soggetti che hanno eseguito esami diagnostici presso il Centro Radiologico (e quindi muniti di userid e pw) potranno accedere al predetto portale; nella predetta mail non è indicato alcun link né, tantomeno, l’url https://[…]/reportPreview/xxx appare in qualsivoglia finestra (barra dell’indirizzi) nel normale utilizzo del browser”; 

- “il [segnalante], dopo aver effettuato l’accesso al portale (attività possibile solo essendo paziente del centro e avendo effettuato almeno un esame presso la struttura) ha utilizzato funzionalità del proprio browser normalmente riservata agli SVILUPPATORI. Tramite lo strumento console XX, presente nelle opzioni di sviluppo di Google Chrome, è riuscito a decodificare la struttura dell’URL in questione come di seguito meglio esplicitato”. 

Successivamente, con nota del XX (prot. n. XX), alla luce della documentazione esaminata, si è reso necessario chiedere ulteriori elementi al Centro e alla Società. Quest’ultima ha fornito riscontro con nota dell’XX, precisando che: 

- “la piattaforma XX è erogata in modalità XX ed è ospitata e gestita direttamente nei server fisici dell'organizzazione del Centro Radiologico. L'applicativo è installato su un'infrastruttura hardware di proprietà del cliente, che comprende anche la gestione autonoma della rete interna (LAN) e delle connessioni Internet. Tutte le attività di assistenza tecnica, sia per interventi software che per il supporto all'utilizzo degli applicativi, vengono eseguite esclusivamente tramite connessioni remote previamente autorizzate dal cliente, garantendo così il rispetto delle sue politiche di sicurezza e controllo”; 

- “la patch inclusa nella nuova release XX, rilasciata alla fine di XX, è stata distribuita secondo la procedura standard a tutti i clienti con contratto di assistenza attivo (e, pertanto, essa – in assenza di rapporto contrattuale corrente – non è stata rilasciata immediatamente per quanto concerne il rapporto in esame). In seguito alla richiesta telefonica ricevuta da Madonna della Bruna (…), la release XX veniva installata anche sul portale XX, effettuando immediatamente dei test offline per garantirne l’efficacia. Quanto sopra, a titolo gratuito ed al fine di scongiurare ogni ulteriore effetto pregiudizievole”;

- “(…) il paziente richiede e autorizza la pubblicazione del referto sul portale per la visualizzazione online al momento dell’accettazione. Solo i referti per cui il paziente ha fornito specifica autorizzazione confluiscono nell’archivio temporaneo (XX), rappresentando circa il 10% del totale dei referti prodotti. L’archivio primario, che contiene tutti i referti generati dal Centro Radiologico e l’archivio temporaneo destinato alla pubblicazione online non sono collegati in alcun modo. Questo isolamento garantisce che l’archivio primario non sia accessibile dall’esterno, assicurando la protezione dei dati sensibili. Il software XX consente la visualizzazione dei documenti autorizzati per un massimo di 30 giorni dalla pubblicazione. Trascorso questo periodo, il referto non è più accessibile al paziente che si collega utilizzando le credenziali personali di accesso. Tale limite temporale è stato configurato per garantire il rispetto delle normative vigenti in materia di conservazione e gestione dei dati personali”;

- “nel caso in cui un paziente richieda una nuova pubblicazione o un’estensione del periodo di visualizzazione, il Centro Radiologico segue una procedura specifica per autorizzare nuovamente la pubblicazione del referto”;

- “sebbene il software preveda la cancellazione automatica dei documenti entro il periodo configurato (5, 10 o massimo 30 giorni), la possibilità di accesso a referti antecedenti tali periodi potrebbe essere stata dovuta a diversi fattori. Un fattore risiede nell’eventuale richiesta di ri-pubblicazione dei referti da parte dei pazienti proprio al fine di accedere a documenti risalenti ad un tempo maggiore rispetto a quello di cancellazione automatica. Ulteriori fattori potrebbero essere rinvenibili in un’anomala perdita di configurazione della funzionalità di cancellazione automatica oppure in un errore nel processo (demone) che si occupa di verificare periodicamente quali referti hanno superato il limite di tempo e quindi procedere con la loro cancellazione. In ogni caso si precisa che la problematica rilevate inerisce esclusivamente alla cancellazione del documento ma non alla possibilità di sua visualizzazione che, secondo le modalità di normale utilizzo, è comunque impedita nei tempi previsti”;

- “il [segnalante] ha avuto la possibilità (con una procedura da sviluppatore avanzato e non da utente normale) di visualizzare random e singolarmente alcuni dei referti presenti nell’archivio temporaneo. Nella release del software, prontamente installata dallo scrivente nel Centro Radiologico il giorno successivo alla notifica telefonica, questa attività non è più possibile ed è stata ripristinata e controllata la configurazione di cancellazione dalla memoria temporanea entro i 30 giorni previsti”.

Con nota del XX, il Centro ha fornito riscontro alla richiesta di informazioni dell’Autorità, rappresentando, in particolare, che:

- “la gestione della stessa era completamente a carico di Med Store Saronno S.r.l.. Nello specifico, il Centro non era neanche in possesso delle credenziali necessarie all’accesso alla Piattaforma ai fini della manutenzione e gestione della stessa. Infatti, tali attività erano svolte dai tecnici Med Store, che accedevano da remoto al server presente presso i locali (del Centro). Le uniche azioni consentite agli operatori del Centro riguardavano esclusivamente la possibilità di mettere a disposizione dell’utente le immagini e i referti da esso richiesti e piccole ulteriori attività connesse a questa funzione. (…). Inoltre, (…) emerge chiaramente come (il Centro) non disponesse delle credenziali necessarie allo svolgimento delle attività ordinarie di manutenzione e gestione della piattaforma”;

- “come da comunicazione ricevuta il XX (…), la patch di sicurezza è stata installata il XX, quindi ben oltre la data di rinnovo del contratto, avvenuto il XX. A tal proposito, preme evidenziare altresì che in data XX – quindi in un momento comunque successivo al rinnovo del contratto – veniva svolto da Med Store un intervento di aggiornamento sul sistema XX. Tuttavia, nonostante il contratto fosse già stato rinnovato, tale occasione non è stata sfruttata per installare la patch di sicurezza, la quale, come già anticipato è stata installata solo il XX (…) a seguito del conseguente contatto telefonico con il Fornitore”;

- “(…) pertanto, il Fornitore riconosce che l’unica finalità della patch non rilasciata era quella di garantire la sicurezza della Piattaforma e prevenire il verificarsi di eventi analoghi a quello segnalato (…). Quindi, contrariamente a quanto affermato, la patch in questione non rappresentava un modulo ulteriore, ma, al contrario, un elemento essenziale del servizio erogato. In considerazione di ciò, Med Store non è stata in grado di garantire la sicurezza della Piattaforma senza peraltro che il titolare potesse accorgersi di questi macroscopici errori di amministrazione”;

- “posto quanto sopra, (il Centro) non ha contezza delle ragioni per le quali tramite la Piattaforma erano accessibili dati più risalenti nel tempo. Tuttavia, per quanto di conoscenza del Centro, la stessa era impostata dal fornitore in modo da mostrare esclusivamente i referti degli ultimi 30 giorni (…). Tale impostazione è confermata dal fatto che, laddove gli utenti chiedessero di poter accedere nuovamente ai referti, è sempre necessario chiedere delle ulteriori credenziali alla struttura, per accedere al proprio referto, per un massimo di ulteriori 30 giorni”.

A sostegno di quanto dichiarato, è stata trasmessa specifica documentazione.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE

2.1 Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso dell’attività sopra descritta e all’accertamento delle presunte violazioni, con nota del XX (prot. n. XX), l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del responsabile del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689). 

Le violazioni contestate hanno riguardato gli artt. 5, par. 1, lett. f) e 32 del Regolamento.

2.2 Difese della parte (art. 166, comma 6, del Codice)

Con nota del XX, la Società ha presentato le proprie memorie difensive, nelle quali ha dichiarato quanto segue:

- “la società istante, in qualità di licenziataria del software denominato XX, evidenzia che quest'ultimo non configura un sistema di refertazione online, bensì una piattaforma deputata alla mera visualizzazione, da parte dei pazienti, dei referti previamente elaborati dal Centro Radiologico. Tale distinzione assume rilevanza primaria ai fini della corretta delimitazione dell'ambito di responsabilità gravante sulla scrivente. Il software XX è stato sviluppato mediante tecnologia XX, in conformità agli standard tecnici del settore. L'architettura del software integra nativamente molteplici presidi di sicurezza, tra cui: sistema di autenticazione mediante credenziali individuali (username e password); funzionalità di autenticazione a due fattori (XX via SMS) attivabile dal titolare del trattamento; gestione delle sessioni con meccanismo di timeout automatico; architettura XX con verifica granulare delle autorizzazioni; implementazione di protocolli di sicurezza volti a prevenire l'esposizione diretta delle funzioni XX”;

- “la patch di sicurezza atta a precludere l'accesso non autorizzato ai referti, rilasciata nel mese di fXX, rientrava pacificamente tra le attività previste dal contratto di manutenzione, la cui formalizzazione è intervenuta soltanto in epoca successiva”;

- “l'accesso non autorizzato segnalato dal [segnalante] è stato reso possibile esclusivamente mediante una serie articolata di operazioni che esulano manifestamente dal normale utilizzo della piattaforma. In dettaglio, il segnalante ha effettuato un esame radiologico presso il centro diagnostico ricevendo le credenziali di accesso, ha successivamente eseguito un accesso legittimo al portale mediante le proprie credenziali personali; ancora successivamente, ha attivato gli strumenti per sviluppatori del browser Chrome; ha quindi analizzato il codice HTML e le chiamate XX al fine di individuare la struttura dell'URL utilizzato per il recupero dei referti; infine, ha provveduto a modificare manualmente l'URL per accedere a referti diversi dal proprio. Si sottolinea con particolare enfasi che l'URL contenente l'identificativo numerico del referto non risulta in alcun modo esposto durante il normale utilizzo della piattaforma. Né nella comunicazione elettronica di notifica, né nell'interfaccia utente standard è possibile visualizzare tale URL. L'accesso non autorizzato ha, pertanto, richiesto competenze tecniche specifiche e un'azione deliberata finalizzata all'elusione dei meccanismi di protezione predisposti”.

3. Valutazioni dell’Autorità

Preso atto di quanto rappresentato dalla Società, in qualità di responsabile del trattamento, si osserva che:

- per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”; per “dati relativi alla salute” si intendono “i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, nn. 1 e 13 del Regolamento; cfr. anche Cons. n. 35);

- i dati personali devono essere “trattati in maniera da garantire un’adeguata sicurezza (…), compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (principio di «integrità e riservatezza»)” (art. 5, par. 1, lett.  f) del Regolamento);

- il responsabile del trattamento, così come il titolare, è tenuto a mettere in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto, tra l’altro, “della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”, evidenziando che “nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati” (art. 32, parr. 1 e 2 del Regolamento);

- con specifico riferimento all’attività di refertazione on-line, il Garante ha adottato il provvedimento del 19 novembre 2009 (pubblicato in G.U. n. 288 dell’11 dicembre 2009, consultabile su www.gpdp.it, doc. web n. 1679033), recante “Linee guida in tema di referti on-line”, che prevede specifiche cautele, nel caso in cui si offra la possibilità all’interessato di collegarsi al sito Internet della struttura sanitaria che ha eseguito l’esame clinico, al fine di effettuare la copia locale (download) o la visualizzazione interattiva del referto (par. 6, scenario n. 1). Analoghe cautele sono state, altresì, previste dal d.P.C.M. 8 agosto 2013, recante “Modalità di consegna, da parte delle Aziende sanitarie, dei referti medici tramite web, posta elettronica certificata e altre modalità digitali, nonché di effettuazione del pagamento online delle prestazioni erogate”, sul quale il Garante, in data 6 dicembre 2012, ha espresso il proprio parere di competenza (doc. web n. 2223206);

- il Regolamento prevede che “qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato” (art. 28, par. 1 del Regolamento), e che il responsabile “adotta tutte le misure richieste ai sensi dell’articolo 32” (art. 28, par. 3, lett. c) del Regolamento).

Ciò premesso, emerge che terzi non autorizzati hanno avuto la possibilità di visualizzare, senza la necessità di superare una procedura di autenticazione informatica, dati personali contenuti nei referti a causa di una vulnerabilità di tipo IDOR (Insecure direct object references - riferimenti a oggetti diretti non sicuri) presente nella versione utilizzata dal Centro al momento della segnalazione e, successivamente, sanata con l’aggiornamento del XX.

In particolare, l’installazione della patch di aggiornamento costituisce un obbligo gravante anche in capo al responsabile del trattamento, per di più designato come tale, in linea con quanto disposto dall’art. 28, par. 3, lett. c), del Regolamento, proprio in base alle specifiche competenze tecniche, nonché all’esperienza maturata nel settore, considerato che l’art. 32, par. 1, del Regolamento stabilisce che sia il titolare che il responsabile del trattamento siano tenuti a mettere in atto le citate misure (come già in più occasioni chiarito dal Garante, cfr. provv. n. 48 dell’11 febbraio 2021, doc. web n. 9562831 e n. 293 del 22 luglio 2021, doc. web n. 9698597, n. 107 del 24 marzo 2022, doc. web n. 9767635, da ultimo provv. 14 luglio 2026, n. 525, doc web n. 10286466).

Dalle dichiarazioni rese all’Autorità, è emerso che la Società è venuta a conoscenza della problematica in oggetto solo a seguito della richiesta del Centro; peraltro, al momento del rinnovo contrattuale, la Società non aveva prontamente installato la patch di aggiornamento, pur avendo effettuato un intervento sul sistema XX il XX. Tale aggiornamento è stato effettuato soltanto il XX, cioè circa due mesi dopo la stipula contrattuale e dopo l’avvio del procedimento nei confronti del Centro.

Non possono essere accolte le difese della Società. La circostanza che XX non sia un sistema di refertazione, bensì una piattaforma di sola visualizzazione dei referti, non incide sull’obbligo del responsabile di garantire la sicurezza dei dati che, attraverso di essa, sono resi disponibili ai pazienti, nel rispetto delle cautele previste dalle Linee guida sopra richiamate. Quanto alle competenze tecniche del segnalante, dalla verifica dell’Ufficio (par. 1.2) è emerso che i referti erano visualizzabili senza alcuna autenticazione, con un comune browser e modificando la sola sequenza numerica finale dell’URL. Infine, la Società ha dapprima dichiarato (nota del XX) che l’aggiornamento costituiva una prestazione aggiuntiva, rilasciabile solo previa contrattualizzazione della manutenzione, e ha poi sostenuto (memoria del XX) che la patch di sicurezza rientrava pacificamente tra le attività previste dal contratto di manutenzione. In ogni caso, l’assenza di un rapporto contrattuale in essere non esonera il responsabile dall’adozione di misure di sicurezza adeguate, tanto più che, come dichiarato dalla stessa Società (nota dell’XX), la patch era disponibile dal XX, era stata distribuita ai clienti con assistenza attiva e, una volta richiesta dal Centro, è stata installata a titolo gratuito.

Pertanto, tenuto conto della natura dei dati oggetto di visualizzazione e degli elevati rischi derivanti dalla loro possibile acquisizione da parte di terzi – indipendentemente dalla loro competenza tecnico-informatica – senza aver previsto un’adeguata procedura di autenticazione, si ritiene che la Società non abbia adottato misure idonee a garantire un livello di sicurezza adeguato al rischio (artt. 5, par. 1, lett. f), e 32 del Regolamento).

4. Conclusioni

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal responsabile del trattamento, per non aver adottato misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento, derivanti dall’accesso non autorizzato a dati personali o dalla divulgazione, anche accidentale, degli stessi, in violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento. 

Considerato che la Società ha installato la patch di aggiornamento, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Ordinanza-ingiunzione

Ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. art. 18, l. 24 novembre 1981, n. 689, e art. 16, comma 1, del regolamento del Garante n. 1/2019).

5.1 Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

5.2 Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto della categoria di dati personali interessati dalla violazione (dati sulla salute) e della durata della stessa, del potenziale elevato numero di interessati, pur considerando il carattere colposo, e non doloso, della condotta tenuta dal responsabile (art. 83, par. 2, lett. a), b) e g), del Regolamento), si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal responsabile del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il responsabile del trattamento è un’impresa con fatturato inferiore a 500 milioni di euro, si ritiene che, ai fini della quantificazione della sanzione, debbano essere valutate le seguenti circostanze:

- la Società, una volta informata dal Centro, ha provveduto all’installazione delle patch di aggiornamento, ponendo fine alla violazione (art. 83, par. 2, lett. c), del Regolamento); 

- la Società è stata già destinataria di un provvedimento per precedente violazione pertinente (art. 83, par. 2, lett. e), del Regolamento; cfr. provv. 2 dicembre 2021, n. 423, doc. web n. 9734934);

- l’Autorità ha preso conoscenza della violazione a seguito di una segnalazione (art. 83, par. 2, lett. h), del Regolamento).

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del responsabile del trattamento, determinate in base al valore della produzione del predetto responsabile di cui al bilancio di esercizio per l’anno 2025.     

In ragione dei suddetti elementi, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 12.000,00 (dodicimila/00) per la violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione della categoria di dati personali interessati dalla violazione, della tipologia di operazioni di trattamento nonché della durata della violazione.

PER QUESTI MOTIVI

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, si dichiara l’illiceità della condotta posta in essere dalla società MedStore Saronno s.r.l., con sede in Saronno (VA), via Giuseppe Garibaldi n. 43, C.F.: 03000070122, per la violazione degli artt. 5, par. 1, lett.  f) e 32 del Regolamento, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto responsabile, di pagare la somma di euro 12.000,00 (dodicimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto responsabile, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 12.000,00 (dodicimila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato.

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione della violazione e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché dell’art. 152 del Codice e dell’art. 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026    

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori