L'ente di controllo della privacy AP avvierà un'indagine sulla violazione dei dati della clinica

L'autorità olandese per la protezione della privacy Autoriteit Persoonsgegevens (AP) ha avviato un'indagine sulla gestione di una grave violazione dei dati presso il laboratorio di elaborazione dei test Clinical Diagnostics, che ha colpito quasi mezzo milione di persone.

Tra i dati hackerati c'erano i risultati degli screening di massa per il cancro cervicale di 485.000 donne, numeri di documenti d'identità personali, nomi e indirizzi, inclusi quelli di medici di famiglia e altri professionisti. I dati personali di oltre 50.000 persone sono stati trovati in vendita sul dark web.

Le aziende hanno l' obbligo legale di informare l'AP di un attacco informatico entro 72 ore. Clinical Diagnostics ha dichiarato di aver segnalato la violazione in tempo, ma l'AP non ha voluto confermarlo, affermando di "non commentare un'indagine in corso".

La clinica è inoltre tenuta a informare i propri clienti di una violazione dei dati "il prima possibile". Tuttavia, l'organizzazione di screening Population Survey Netherlands è stata informata della violazione solo la scorsa settimana, un mese dopo l'incidente.

Secondo quanto riferito, il ritardo è stato collegato a un pagamento al gruppo ransomware Nova per impedire la comparsa di ulteriori dati sul dark web.

Inoltre, nessuna delle donne presenti nell'elenco è stata finora ufficialmente informata dalla Clinical Diagnostics.

L'indagine dell'Associated Press dovrà dimostrare se la clinica ha violato le norme sulla privacy. La definizione di "il prima possibile" dipende da diversi fattori, tra cui il numero di persone da informare, il tipo di dati rubati coinvolti e i mezzi di comunicazione disponibili, ha dichiarato un portavoce dell'Associated Press all'emittente NOS.

"Abbiamo ancora molte domande a cui vorremmo una risposta al più presto. Cosa è successo? Quando è stato segnalato? Cosa è successo nel frattempo?", ha detto.

Clinical Diagnostics ha dichiarato che le persone colpite dall'attacco informatico riceveranno una lettera entro e non oltre il 19 agosto. Informerà inoltre ufficialmente i medici di famiglia presenti nell'elenco.

Se si accertasse che la clinica ha violato le normative sulla privacy, potrebbe essere multata fino a 20 milioni di euro o al 4% del suo fatturato. A seconda della gravità della violazione, alle aziende potrebbe essere vietato il trattamento di determinate categorie di dati personali.

Le donne i cui dati sono stati rubati potrebbero essere prese di mira dai criminali ed essere vulnerabili al furto di identità.

In un altro sinistro colpo di scena, RTL Nieuws ha scoperto che alcune delle donne presenti nella lista vivevano in un rifugio per donne. Oltre ai loro nomi e numeri di documento d'identità, tra i dati hackerati figura anche l'indirizzo del rifugio.