Fonte immagine © Freepik
Data breach da errore umano.
Quando il data breach può essere causato da un errore umano?
Data breach: Una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.
Normalmente si pensa che i data breach siano causati solo da attacchi informatici, in realtà anche errori umani possono causare una violazione della privacy, come ha ricordato il Garante in occasione di tre sanzioni importanti (da 10 a 50 mila euro) a due strutture sanitarie.
Caso 1
Un ospedale toscano ha ricevuto la sanzione di 10.000 euro per aver spedito via posta, al paziente sbagliato, una relazione medica contenente le informazioni sulla salute e la vita sessuale di un’altra coppia.
Caso 2
Anche un ospedale dell’Emilia-Romagna ha ricevuto la sanzione di 10.000 euro per aver consegnato a dei pazienti cartelle cliniche contenenti dati e referti riferibili ad altre persone, incluso un minore.
In entrambi i casi le sanzioni sono state calcolate tenendo conto che le strutture sanitarie hanno immediatamente dimostrato un elevato grado di cooperazione con il Garante e che gli episodi sono risultati isolati e non volontari. Le due strutture hanno anche pianificato ulteriori misure tecniche e organizzative per ridurre al minimo l’errore umano.
Caso 3
Un terzo caso riguarda invece una Asl dell’Emilia-Romagna, dove una paziente aveva esplicitamente richiesto – sottoscrivendo un apposito modulo – che nessun soggetto esterno, neppure i familiari, fosse informato sul suo stato di salute. Un’infermiera del reparto dove la donna stava seguendo delle terapie, non essendo a conoscenza della richiesta, invece che contattarla sul telefono cellulare privato, aveva chiamato il numero di casa registrato nell’anagrafe aziendale, parlando così con un familiare. Anche in questo caso, l’Azienda ha riconosciuto gli errori che hanno causato il data breach e si è impegnata quindi ad implementare un sistema informatizzato di gestione dei numeri di telefono dei pazienti ricoverati introducendo una specifica policy aziendale. La Asl, che ha subito anche una richiesta di risarcimento danni da parte della paziente, dovrà pagare una sanzione di 50.000 euro per la violazione del Gdpr.
Questi sono solo degli esempi ma la questione non riguarda solo le aziende sanitarie ma tutte quelle che trattano dati personali.
Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile direttamente o indirettamente. Categorie particolari di dati (art. 9 GDPR): i dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
Trattamento: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali: la raccolta, la registrazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la trasmissione, la cancellazione o la distruzione.
Che comportamento devono tenere i dipendenti per scongiurare violazioni della privacy?
- RISPETTARE LE POLICY DI SICUREZZA
- PREVENIRE ILLECITA DIVULGAZIONE
- a terzi senza consenso dell’interessato o altra condizione prevista dalle procedure
- a colleghi che non hanno necessità di conoscere i dati (Principio del Need to know)
- lasciare la scrivania pulita in caso di assenza dal posto di lavoro (Clean Desk)
- UTILIZZARE CORRETTAMENTE GLI STRUMENTI
- segretezza e robustezza Password, utilizzo di PIN ove richiesto
- screen saver in caso di allontanamento dal posto di lavoro
- controllo e custodia degli strumenti
- EVITARE ACQUISIZIONI INVOLONTARIE DI DATI
- distanze di cortesia / attenzione negli Open space
- presidio stampanti, copiatrici, fax
- separazione dati sensibili da dati comuni, armadi chiusi a chiave
- distruzione sicura die documenti cartacei
- AZIONI PREVENTIVE. per esempio:
- consegna diretta dei documenti
- invio in plichi chiusi
Comportamenti scorretti provocano violazione dei dati sanzionati dalla legge
Contattaci
[cresta-facebook-messenger text=”Need Help?” icon=”yes” position=”top”]
[cresta-help-chat text=”Need Help? Contact Me!” icon=”yes” position=”top” use=”number” number=”+393921790788″]
