L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'Autorité sanitaire locale de Matera, comprenant le prononcé d'une amende de 8 600 €, pour des manquements en lien avec la sécurité des données personnelles suite à une cyberattaque par rançongiciel. Cette affaire débute par la notification d'une violation de données par l'entité elle-même, relative à une attaque informatique par rançongiciel du groupe "Rhysida" ayant entraîné le chiffrement de ses systèmes et l'exfiltration de données concernant 95 362 personnes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité et sécurité du traitement (article 5, paragraphe 1, point f) du RGPD et article 32 du RGPD) : L'autorité a constaté que l'entité n'avait pas mis en œuvre de mesures techniques et organisationnelles adéquates pour garantir la sécurité des systèmes et détecter rapidement la violation. L'enquête a révélé l'absence d'authentification à plusieurs facteurs pour l'accès à distance, une segmentation limitée du réseau, la présence de systèmes d'exploitation obsolètes et non pris en charge, ainsi qu'une configuration du système de gestion des informations et des événements de sécurité (SIEM) qui n'a pas permis de générer des alertes pertinentes. L'autorité a jugé que le respect des mesures minimales de sécurité pour les administrations publiques ne dispensait pas l'entité de son obligation de réévaluer continuellement les risques et d'adapter ses mesures, compte tenu de la nature des données traitées et de l'évolution des menaces.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus. En outre, l’autorité a ordonné la publication de sa décision sur son site internet.