Indirizzi Email visibili a tutti i destinatari: da un data breach scatta la sanzione
Una svista che è costata cara. Ma non solo: anche un errore di progettazione di un’App.
Una società che vende dispositivi medici per la cura del diabete ha ricevuto due sanzioni:
- una per avere inviato 11 email, con un totale di circa 500 indirizzi in chiaro,
- l’altra per non avere fornito un’adeguata informazione nella propria App per il collegamento delle utenze dei pazienti con il proprio medico curante.
Le violazioni
L’azienda sanzionata gestisce un’App collegata a pompe per insulina e che consente ai pazienti diabetici di monitorare i propri parametri glicemici tramite lo smartphone.
In occasione di un urgente aggiornamento tecnico dei server, sono stati inviati una decina di email con circa 500 indirizzi in chiaro, ossia non inseriti nel campo CCN (copia nascosta, o Copia Carbone Nascosta, la BCC anglosassone: Blind Carbon Copy).
Di fatto ciò ha consentito a tutti i destinatari di venire a conoscenza degli indirizzi email di altre persone che utilizzano un’app per diabetici, rivelando quindi indirettamente il loro stato di salute.
La società ha gestito l’incidente notificando il data breach (perché di data breach si tratta…) al Garante. Ma questo non è bastato ad evitare la sanzione.
La seconda violazione riguarda un aspetto più tecnico, ossia la possibilità che fornisce l’App di collegare il proprio account a quello del medico curante, consentendo a quest’ultimo di visualizzare i dati clinici del paziente.
L’informativa fornita ai pazienti però, secondo il Garante, non chiariva adeguatamente che questa operazione costituiva una comunicazione di dati a un nuovo titolare autonomo del trattamento (il medico), né specificava su quale base giuridica si fondasse tale comunicazione.
Il paziente cliccava “accetta” senza comprendere appieno cosa stesse autorizzando da un punto di vista giuridico. Solo successivamente all’istruttoria la società ha corretto l’informativa indicando esplicitamente che la base giuridica era il consenso.
Tre consigli operativi
- Pensare, sin dalla progettazione, ai possibili errori umani.
Soprattutto laddove si trattino dati sensibili, le cosiddette categorie particolari di dati personali, è opportuno (se non necessario) prevedere controlli tecnici che impediscano materialmente l’errore umano, come impedire l’utilizzo del campo Copia per Conoscenza e/o consentano solo il CCN-BCC in determinate comunicazioni.
Le procedure scritte e i corsi di formazione sono necessari ma non sufficienti quando si trattano categorie particolari di dati come quelli sanitari. Occorre implementare controlli tecnici che rendano materialmente impossibile compiere azioni rischiose.
- Rendere comprensibile la base giuridica nel momento in cui serve
Quando si chiede un consenso per un trattamento, specialmente se comporta la comunicazione di dati sanitari a terzi, la base giuridica non può essere nascosta in un’informativa generica accessibile tramite link. Deve essere esplicitata chiaramente nella schermata di consenso stessa, con un linguaggio che chiarisca immediatamente cosa si sta autorizzando e perché.
In difetto di immediatezza e di chiarezza il consenso non è informato e quindi è invalido.
- Distinguere i ruoli e le responsabilità
Quando più titolari trattano dati personali in sequenza (dopo la raccolta, un altro soggetto li tratta autonomamente), ciascuno deve assumersi le proprie responsabilità informative senza scaricarle sull’altro. Nel provvedimento, la società sosteneva che spettasse al medico informare il paziente sulle finalità del proprio trattamento. Il Garante ha risposto che la società, nel momento in cui abilita tecnicamente quella comunicazione di dati, deve comunque dire al paziente qual è la base giuridica che legittima quella specifica operazione. Non si tratta di sostituirsi al medico, ma di fornire le informazioni che competono al proprio ruolo di intermediario tecnologico.
Il provvedimento qui: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9991183
Credits: Futurama – Matt Groening