Il 3 settembre 2026 la CNIL, l'autorità francese per la protezione dei dati, ha sanzionato con 500.000 euro l'Hôpital Privé de la Loire per la violazione di dati subita nell'estate del 2025. Il provvedimento merita attenzione in Italia più della media delle sanzioni GDPR europee, perché le carenze contestate sono esattamente quelle che si trovano nella maggior parte delle strutture sanitarie private del nostro Paese.

I fatti

Nell'estate 2025 un attaccante è riuscito a collegarsi al DPI (dossier patient informatisé, l'equivalente della cartella clinica elettronica) dell'ospedale, il sistema che centralizza tutti i dati delle persone in cura. Da lì ha estratto i dati di 524.867 pazienti — inclusi, per una parte di essi, dati sanitari — e di 202.246 persone indicate dai pazienti come "persona di fiducia", la figura che nel diritto francese corrisponde grosso modo al nostro fiduciario o contatto di riferimento designato nel consenso informato.

L'istruttoria della CNIL ha individuato quattro carenze precise:

  • Accesso remoto senza VPN e senza autenticazione a più fattori. Gli utenti esterni potevano raggiungere il sistema di cartella clinica elettronica direttamente, con sola password. È la porta da cui l'attaccante è entrato.
  • Politica di autorizzazione inadeguata. Con le credenziali di un singolo utente l'attaccante ha potuto accedere all'intero database dei pazienti. Nessuna segmentazione per reparto, per struttura, per ruolo, nessun limite sul volume di record consultabili.
  • Assenza di monitoraggio efficace. Nessun rilevamento in tempo reale di attività anomale sulla rete interna: l'attaccante ha consultato cartelle cliniche per diversi giorni ed estratto grandi volumi di dati senza che nulla si accorgesse di niente.
  • Informativa agli interessati incompleta. L'ospedale ha comunicato la violazione ai soli pazienti. Le 202.246 persone di fiducia, i cui dati personali erano stati anch'essi sottratti, non hanno ricevuto alcuna comunicazione diretta.

Le prime tre carenze configurano una violazione dell'art. 32 GDPR (sicurezza del trattamento); la quarta dell'art. 34 (comunicazione della violazione all'interessato). Nella quantificazione della sanzione la CNIL ha pesato l'assenza di misure di base, la natura dei dati compromessi e la capacità finanziaria della struttura. L'ospedale ha adottato misure correttive nel corso del procedimento, circostanza che ha attenuato l'importo ma non ha evitato la sanzione.

La parte che vale la pena leggere due volte

Nessuna delle quattro contestazioni riguarda una tecnologia sofisticata mancante. Non si parla di EDR, di zero trust, di threat intelligence: si parla di VPN, MFA, profili di autorizzazione e log. Sono controlli che esistono da vent'anni e che qualunque fornitore di cartella clinica elettronica supporta nativamente.

C'è un secondo elemento, meno evidente, che secondo me è il cuore del provvedimento: la contestazione sulle persone di fiducia. L'ospedale aveva fatto la parte "visibile" del lavoro — avvisare i pazienti — e si era fermato lì. Ma nel dataset sottratto c'erano centinaia di migliaia di persone che non erano pazienti, che non avevano un rapporto diretto con la struttura, e che probabilmente non sapevano nemmeno di essere nel sistema informativo di un ospedale. Sono queste le persone che il GDPR protegge nel modo più difficile da gestire in pratica, perché il titolare del trattamento tende a dimenticarsele.

La domanda che questo provvedimento pone a chiunque gestisca dati sanitari è quindi molto concreta: nel vostro database ci sono soggetti che non sono i vostri assistiti? Familiari, caregiver, contatti di emergenza, tutori, donatori, accompagnatori registrati all'accettazione. Se la risposta è sì — e in una struttura sanitaria è quasi sempre sì — quelle persone rientrano nel perimetro dell'art. 34 esattamente come i pazienti.

Cosa significa per la sanità italiana

Il quadro di rischio in Italia è sovrapponibile, e per certi versi più fragile.

Le strutture sanitarie private accreditate, i poliambulatori, i laboratori di analisi e le RSA lavorano quasi tutte con specialisti a contratto che accedono da remoto al gestionale clinico: il radiologo che referta da casa, l'anatomopatologo che consulta i vetrini digitali, il medico di guardia che chiude le cartelle la sera. Nella mia esperienza da consulente, questi accessi sono il punto in cui le eccezioni si accumulano: l'MFA viene disattivato "solo per il dottore che non ci riesce", la VPN salta perché il gestionale è già pubblicato su HTTPS, il profilo di autorizzazione è unico perché il fornitore non ne ha previsti altri.

Sulla segmentazione degli accessi vale la stessa osservazione. Molti gestionali clinici in uso in Italia hanno un modello di autorizzazione binario — abilitato o non abilitato all'anagrafica — e non offrono nativamente limiti per reparto o soglie sul numero di cartelle consultabili in un intervallo di tempo. È una carenza del prodotto, ma la responsabilità resta del titolare: l'art. 32 chiede misure adeguate al rischio, e il rischio di una cartella clinica elettronica con mezzo milione di assistiti non è quello di un'agenda appuntamenti.

Sul piano normativo, in Italia si sommano tre livelli. Il GDPR, con la notifica al Garante entro 72 ore (art. 33) e la comunicazione agli interessati quando il rischio è elevato (art. 34) — e con dati sanitari il rischio elevato si presume. La NIS2, che colloca la sanità tra i settori ad alta criticità dell'Allegato I: le strutture che superano le soglie dimensionali devono notificare ad ACN il preallarme entro 24 ore e la notifica completa entro 72. E il provvedimento del Garante sul dossier sanitario elettronico, che già dal 2015 richiede tracciamento degli accessi, alert sugli accessi anomali e conservazione dei log per almeno 24 mesi: esattamente la misura la cui assenza la CNIL ha sanzionato in Francia.

Chi in Italia non traccia gli accessi al dossier sanitario non è in una zona grigia: è fuori da un provvedimento generale del Garante che ha undici anni.

Cosa fare subito

  • Censire tutti gli accessi remoti al gestionale clinico, comprese le eccezioni concesse a singoli professionisti, e verificare che ciascuno passi da VPN o accesso condizionale con MFA. Le eccezioni vanno chiuse, non documentate.
  • Attivare l'MFA su tutti gli account con accesso a dati sanitari, inclusi quelli di service e quelli del fornitore del gestionale, che quasi sempre ne ha uno con privilegi elevati.
  • Rivedere i profili di autorizzazione e introdurre il criterio del bisogno di conoscere: accesso limitato al reparto, all'unità operativa o ai pazienti in carico, e non all'intera anagrafica.
  • Impostare soglie e alert sul volume di consultazioni: un account che apre centinaia di cartelle in un'ora è un segnale, indipendentemente da chi sia. Questo è l'unico controllo che nel caso francese avrebbe accorciato l'incidente da giorni a ore.
  • Verificare la conservazione e l'integrità dei log di accesso al dossier sanitario per almeno 24 mesi, come richiesto dal provvedimento del Garante, e controllare che siano effettivamente consultabili — non solo prodotti.
  • Mappare i soggetti non pazienti presenti nel database (contatti di emergenza, familiari, tutori, caregiver) e predisporre in anticipo il canale con cui li si raggiungerebbe in caso di violazione. Deciderlo durante l'incidente è tardi.
  • Verificare le clausole contrattuali con il fornitore del gestionale ai sensi dell'art. 28 GDPR: chi tiene i log, chi rileva le anomalie, in quanto tempo comunica un incidente al titolare. Se il contratto non lo dice, il vuoto ricade sulla struttura.

Cinquecentomila euro per una struttura sanitaria privata non sono una sanzione simbolica. Ma il costo maggiore, in casi come questo, resta la comunicazione a settecentomila persone che i loro dati sanitari sono in mano a qualcun altro.