Dati sanitari dei pazienti esposti online, il Garante multa il Centro radiologico di Matera e la società informatica

Il Garante privacy ha sanzionato il Centro Radiologico Madonna della Bruna di Matera e la società informatica MedStore Srl di Saronno, rispettivamente per 16mila (provvedimento n. 764 del 7 ottobre 2026) e 12mila euro (provvedimento n. 754 del 7 ottobre 2026), per avere esposto pubblicamente, in maniera indebita, i dati personali dei pazienti.

Il provvedimento, spiega una nota del Garante, prende avvio da una segnalazione in cui si lamentava una vulnerabilità nel sistema di refertazione online e la mancanza di misure di sicurezza adeguate a tutelare i trattamenti.

Il procedimento ha coinvolto anche la società MedStore Saronno, in quanto designata dal Centro come responsabile del trattamento per l’hosting, la gestione e la manutenzione della piattaforma utilizzata per mettere a disposizione dei pazienti i referti online.

Nel corso dell’istruttoria, l’Autorità ha accertato che terzi non autorizzati potevano visualizzare – senza alcuna procedura di autenticazione – i dati contenuti nei referti online, a causa di una vulnerabilità di tipo IDOR (Insecure Direct Object Reference) della piattaforma della clinica. Una falla di sicurezza che consentiva di accedere a informazioni di altri pazienti (nome, cognome, codice fiscale, indirizzo, anamnesi) semplicemente modificando, nel browser, la sequenza numerica finale della URL ricevuta via mail per visionare e scaricare il file PDF del referto.

La società informatica avrebbe quindi dovuto dotare il portale delle ultime patch di aggiornamento per impedire lo sfruttamento della vulnerabilità, una carenza tecnica e organizzativa che ha determinato la violazione dei dati.

Durante le attività di verifica, sono inoltre emerse altre criticità: la piattaforma, a causa di un malfunzionamento della funzionalità di cancellazione automatica dei referti o di un errore del processo di verifica dei tempi di memorizzazione degli stessi, conservava i referti oltre il termine di 45 giorni previsti dalla normativa privacy, in violazione del principio di limitazione.

Nel comminare le sanzioni, il Garante ha ribadito come la tempestiva applicazione degli aggiornamenti e una corretta e costante vigilanza sulle infrastrutture informatiche costituiscono obblighi di legge imprescindibili per garantire la reale tutela dei dati sanitari.