Irresponsabili del trattamento: medstore si conferma un pessimo fornitore e mette nei guai i propri clienti.

Usi un software o un prodotto Med Store? Allora questo articolo ti riguarda.

Mi capita spesso di leggere provvedimenti e avere una sensazione di deja-vu, ma oggi non è solo una sensazione, oggi è proprio una incredibile realtà.

MedStore Saronno, ma quanto si può essere stupidi per sbagliare, venire sanzionati, non imparare nulla dai propri errori, commettere lo stesso identico sbaglio, provare a difendersi nello stesso identico modo e, ovviamente, finire nuovamente sanzionati? Non ce l'avete un DPO? Beh, contattatene uno, anche perché, da quello che vedo sul vostro sito, ne avete veramente molto bisogno.

Ma quanto si deve essere malvagi per ingannare e trascinare nel baratro le aziende che si affidano a voi?

Oggi non mi posso limitare a commentare un singolo provvedimento, ne servono quattro, relativi a due distinte vicende, ciascuno dei quali si conclude con l'adozione di provvedimenti speculari e collegati: uno rivolto alla struttura sanitaria in qualità di Titolare del trattamento (Data Controller), l'altro rivolto alla società informatica provider della soluzione software utilizzata, Med Store Saronno S.r.l. (MedStore), in qualità di Responsabile del trattamento (Data Processor).

Errare humanum est... (Dicembre 2021):
Titolare: Casa di Cura Fondazione Gaetano e Piera Borghi S.r.l. (Provv. 2 dicembre 2021, n. 422, doc. web n. 9734884).
Responsabile: Società Med Store Saronno S.r.l. (Provv. 2 dicembre 2021, n. 423, doc. web n. 9734934).

perseverare autem diabolicum... (Ottobre 2026):
Titolare: Centro Radiologico Madonna della Bruna S.r.l. (Provv. 7 ottobre 2026, n. 764, doc. web n. 10311455).
Responsabile: sempre MedStore Saronno S.r.l. (Provv. 7 ottobre 2026, n. 754, doc. web n. 10312186).

Questo bel quartetto di sanzioni è un caso di studio formidabile per indagare e capire i confini dell'autonomia e della responsabilità del Responsabile del trattamento (ex art. 32 GDPR), per stigmatizzare il fallimento della difesa basata sullo "scaricabarile" contrattuale e per apprezzare quanto la caparbietà di un fornitore di software sanitario rilevi nella quantificazione delle sanzioni per violazioni del GDPR.

Partiamo dal 2021: ai tempi del Covid, una Casa di Cura ha richiesto a Med Store l'attivazione dell'accesso da remoto al visualizzatore di diagnostica radiologica MED Dream, applicativo web basato su standard DICOM, per consentire ai medici radiologi di refertare a distanza ed evitare assembramenti. Il collettivo hacker LulzSec_ITA ha individuato l'IP pubblico della struttura sanitaria e lo ha utilizzato per acquisire e diffondere su Twitter due immagini radiologiche, scrivendo questo: «Tanti soldi spesi nella sanità, e poi nostri dati privati e sensibili, sono protetti da password di default. Che schifo»

Il Garante accertò violazioni indegne di un paese civile:

1. Accesso web esposto su protocollo non cifrato HTTP in chiaro su porta non standard (porta 88), con totale assenza di cifratura TLS/HTTPS.
2. Assegnazione al medico radiologo di un'utenza con privilegi massimi e credenziali predefinite di fabbrica (admin/admin), mai modificate.
3. Totale assenza di password policy (complessità minima, scadenza, cambio al primo utilizzo, rotazione) e di meccanismi di blocco automatico contro attacchi a forza bruta.

La Casa di Cura si è difesa come poteva, dichiarando di essersi affidata a Med Store, ritenendolo un fornitore tecnicamente qualificato, peraltro nominato responsabile del trattamento, e ricevendo ampie rassicurazioni e garanzie scritte sulla "piena compliance al GDPR".

Med Store, cintura nera di arrampicata sugli specchi, meritando un oscar per abilità nella recitazione e mimica faccia-deretano, ha provato a difendersi sostenendo che MED Dream sia un mero visualizzatore e non un archivio di referti, che l'attacco su porta non standard "88" denoti elevatissima perizia criminale non imputabile a Med Store, e che l'installazione remota urgente dovuta al lockdown avrebbe impedito la formazione in presenza del personale e l'assegnazione guidata delle credenziali.

Il Garante ha sanzionato la Casa di Cura specificando che la dichiarazione di conformità rilasciata dal fornitore non solleva il Titolare dalla propria responsabilità, dall'obbligo inderogabile di vigilare e verificare le misure di sicurezza e garantire l'accountability. €30.000.

Già allora, il Garante ha sanzionato anche Med Store, vergando con il loro sangue (€7.000) una massima: il Responsabile risponde in via diretta ed autonoma della mancata adozione di misure adeguate ex art. 32 GDPR, configurare un applicativo sanitario su protocollo HTTP con credenziali "admin"/"admin" costituisce una colpa grave nell'esecuzione della prestazione tecnica.

"Alcune cose che non avrebbero dovuto essere dimenticate andarono perdute. La storia divenne leggenda, la leggenda divenne mito. E per 2500 anni dell'anello si perse ogni conoscenza finché, quando si presentò l'occasione esso irretì un nuovo portatore."

Eccoci, al crepuscolo del 2026. Il Centro Radiologico Madonna della Bruna usa una piattaforma software fornita da MedStore, installata su server on-premise nei locali del Centro ma gestita da remoto da MedStore, utilizzata per la visualizzazione e consultazione online dei referti medici da parte dei pazienti. Questa volta non è servita la banda di hacker burloni, ma un comune paziente che, dopo aver ritirato via e-mail il link per scaricare il proprio referto in PDF, ha riscontrato una gravissima falla di sicurezza e ha presentato formale segnalazione al Garante.

Immagino le parole grosse che sono volate in quella sala riunioni:

"Che rompipalle"

"Si facesse i fatti suoi"

"Mo lo corco di mazzate"

Fiato sprecato.

Il Garante ha accertato violazioni deprecate persino nei peggiori bar di Tortuga:

1. Vulnerabilità IDOR (Insecure Direct Object References): l'URL del referto conteneva un parametro numerico sequenziale in chiaro senza controllo di sessione o autenticazione. Modificando semplicemente la cifra finale nella barra degli indirizzi di un comune browser, chiunque poteva visualizzare e scaricare i referti di tutti gli altri pazienti (comprensivi di nome, cognome, codice fiscale, data di nascita, indirizzo, anamnesi clinica e diagnosi).
2. Violazione del Principio di Limitazione della Conservazione (Data Retention): nel sistema erano liberamente raggiungibili referti risalenti al 2020/2021, a causa del malfunzionamento del sistema di cancellazione automatica, in palese violazione del limite massimo di disponibilità (30 giorni previsti dal Centro e comunque non oltre i 45 giorni prescritti dalle Linee Guida del Garante sui Referti Online del 19 novembre 2009 e dal DPCM 8 agosto 2013).

L'istruttoria ha fatto emergere un dissing in piena regola, uno di quelli da popcorn, birra gelata e rutto libero:

il Centro Radiologico ha affermato di non avere alcuna competenza o controllo tecnico: il pannello di gestione del sistema era accessibile esclusivamente da remoto ai tecnici MedStore e il Centro non possedeva nemmeno le credenziali di amministrazione. Inoltre, il Centro ha dimostrato che MedStore era a conoscenza della vulnerabilità IDOR e aveva sviluppato una patch risolutiva già a fine anno, ma non l'aveva installata.

MedStore ha potuto sfoggiare grandi progressi e il titolo di "gran maestro di perculo" sostenendo che...

1. il segnalante non era un comune utente, ma un soggetto con competenze informatiche che aveva sfruttato un comando segreto per utilizzare la console di sviluppo di Chrome per decodificare le chiamate (in effetti ha premuto il segretissimo tasto F12);
2. il rilascio delle patch di sicurezza e degli aggiornamenti rappresentava una prestazione migliorativa/aggiuntiva rilasciabile solo a seguito del formale rinnovo economico del contratto di manutenzione da parte del cliente;
3. si trattava di una piattaforma di mera consultazione e non di refertazione online

Il Centro Radiologico è stato sanzionato (€16.000) poiché il server risiedeva fisicamente presso la loro sede e la durata della conservazione dei referti era una decisione rimessa al titolare, quest'ultimo avrebbe dovuto vigilare e testare regolarmente l'efficacia delle misure tecniche ex art. 32, par. 1, lett. d) GDPR.

Con riferimento a Med Store, Marx direbbe "La storia si ripete sempre due volte: la prima volta come tragedia, la seconda come farsa.": il Garante ha sancito, anzi, ha ribadito che la sicurezza del software sanitario non può essere considerata una prestazione commerciale accessoria a pagamento: la patch era già pronta e doveva essere applicata tempestivamente a presidio dei dati sanitari ex artt. 32 e 28, par. 3, lett. c) GDPR. Inoltre, per quantificare della sanzione a carico di MedStore, il Garante ha formalmente considerato l'aggravante della recidiva, cioè il fatto che la società fosse già stata sanzionata con il provvedimento n. 423 del 2 dicembre 2021 per analoghe violazioni di sicurezza. MedStore è stata punita con €12.000 di sanzione e, am io giudizio, sono pure pochi.

Come DPO sconsiglio vivamente di sostenere posizioni peregrine come: "Noi facciamo i medici, non gli informatici; abbiamo comprato una soluzione chiavi in mano da un fornitore leader e nominato lo stesso responsabile ex art. 28". Se sei il titolare del trattamento, non puoi fidarti, nemmeno per attività sulle quali non hai alcuna competenza. Sembra ingiusto? Sembra, ma non lo è. Nessuno ha obbligato i due titolari sanzionati ad avvalersi di un fornitore molto economico ma anche poco affidabile, è una scelta e il titolare deve sopportare le conseguenze delle proprie scelte.

Se un titolare non ha le competenze per valutare l'operato di un fornitore tecnico, nulla gli impedisce di chiedere aiuto ad una parte terza che lo supporti nell'attività di verifica. Anzi, a voler leggere bene il GDPR, si scopre che questa attività di verifica è addirittura obbligatoria. Non farla significa accettare ogni eventuale conseguenza della propria inadeguatezza unita alla propria noncuranza.

Mi trovo spesso a vestire i panni del DPO che pone questioni e solleva problemi e mi trovo spessp a confronto con provider che organizzano riunioni tecniche facendo partecipare i loro commerciali. È un pessimo inizio e si intuisce subito dove si andrà a naufragare: qualificare le patch di sicurezza come un "aggiornamento migliorativo/aggiuntivo erogabile solo previa contrattualizzazione del rinnovo" è un errore grossolano. Il Garante ha sancito che la tempestiva risoluzione delle falle di sicurezza su dati sanitari è un obbligo normativo inderogabile ex art. 32 GDPR, che grava direttamente sul Responsabile, a prescindere dallo stato delle trattative commerciali per il rinnovo del canone. La protezione dei dati personali non è una premium feature, ma la base di partenza.

Sia nel 2021 che nel 2026, MedStore ha seguito il classico copione di chi viola la privacy: minimizzare, sostenendo che l'attacco richiedesse abilità straordinarie. Viene da sperare che sia solo una difesa di facciata a cui non credono nemmeno loro, perché l'alternativa — non rendersi conto della gravità — è ben peggiore. Il Garante ha spazzato via questa tesi: un URL non protetto da autenticazione e password banali o predefinite sono falle macroscopiche, sfruttabili da chiunque con un normale browser. Non serve un hacker, non serve un esperto, non serve alcuna abilità speciale. Affermare il contrario distrugge la credibilità tecnica di chi lo sostiene.

Usi i prodotti e i servizi di Med Store? Beh, dovresti preoccuparti seriamente.

Infine, un pensiero speciale dedicato a tutti quelli che spacciano "soluzione a norma con il GDPR", ed anche a quelli che "assicuriamo la piena compliance al GDPR": siete dei deficienti, e deficiente è anche chi ci casca. Spiace, ma è la triste verità.

Affermare di essere a norma con il GDPR è stupido, almeno tanto quanto lo è dire: "siamo a norma con il fatturato". Puoi "ballare la ferrovia"? Non penso proprio.

Il GDPR non è una lista della spesa da smarcare, non è un adempimento da completare e neppure una serie di compiti da svolgere. Il GDPR definisce un processo, un ecosistema adattivo di decisioni, comportamenti e controlli che attraversa ogni singolo reparto aziendale e non prevede una linea del traguardo. Un processo simile non si "adempie", non si certifica e non si archivia: si mantiene vivo e si aggiorna ogni giorno, finché esisterà un dato personale da trattare.

Prosit.

Su questo blog ci sono altri 218 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!