Referti online accessibili cambiando l’URL: il Garante sanziona centro radiologico e fornitore IT

Il Garante per la protezione dei dati personali ha sanzionato il Centro Radiologico Madonna della Bruna di Matera per 16.000 euro (provvedimento n. 764 del 7 ottobre 2026) e la società informatica MedStore Srl di Saronno, suo fornitore, per 12.000 euro (provvedimento n. 754 del 7 ottobre 2026). Il motivo: sul portale dei referti online bastava cambiare, nel browser, la sequenza numerica finale dell’indirizzo ricevuto via email per aprire e scaricare senza alcuna autenticazione i referti di altri pazienti, con nome, cognome, codice fiscale, indirizzo e anamnesi. È una vulnerabilità di tipo IDOR (Insecure Direct Object Reference), che le patch di aggiornamento disponibili avrebbero impedito. In più i referti restavano online oltre i 45 giorni previsti. Sono stati sanzionati sia la struttura, titolare del trattamento, sia la software house, responsabile del trattamento.

La notizia è stata diffusa dal Garante con la Newsletter del 12 novembre 2026 e i due provvedimenti sono pubblicati nel sito dell’Autorità. È un caso piccolo per importi, ma molto istruttivo per chiunque consegni referti attraverso un portale web: radiologie, laboratori di analisi, poliambulatori, centri di diagnostica e le aziende che forniscono loro il software. Qui spieghiamo che cosa è successo, che cos’è una vulnerabilità IDOR in parole semplici, perché sono stati sanzionati entrambi i soggetti, che cosa prevede la disciplina sui referti online e quali verifiche conviene fare sul proprio sistema.

In sintesi

• Due sanzioni: 16.000 euro al Centro Radiologico Madonna della Bruna di Matera (provvedimento n. 764 del 7 ottobre 2026) e 12.000 euro a MedStore Srl di Saronno (provvedimento n. 754 del 7 ottobre 2026).
• Origine: una segnalazione su una vulnerabilità del sistema di refertazione online e sulla mancanza di misure di sicurezza adeguate.
• La falla: modificando la sequenza numerica finale dell’URL ricevuto via email per vedere e scaricare il PDF del referto, terzi non autorizzati potevano accedere, senza autenticazione, ai dati di altri pazienti.
• Il fornitore: la software house era stata designata dal Centro responsabile del trattamento per hosting, gestione e manutenzione della piattaforma; secondo il Garante avrebbe dovuto applicare le ultime patch di aggiornamento.
• Conservazione: per un malfunzionamento della cancellazione automatica o un errore nel controllo dei tempi di memorizzazione, i referti restavano online oltre il termine di 45 giorni.
• Il principio: per il Garante, applicare tempestivamente gli aggiornamenti e vigilare in modo corretto e costante sulle infrastrutture informatiche sono obblighi di legge.

Che cosa è successo

Il procedimento nasce dalla segnalazione di un paziente. Ricevuto via email il collegamento per visualizzare il proprio referto in formato PDF, il segnalante si è accorto che la pagina era un accesso diretto al file, senza alcuna verifica su chi lo stesse aprendo: il documento era individuato soltanto da un numero presente nell’indirizzo web. Cambiando quel numero si potevano aprire anche i referti di altre persone. Il Garante ha avviato l’istruttoria nei confronti del Centro e ha coinvolto anche la società informatica che gestiva il portale.

Dalle verifiche è emerso che terzi non autorizzati potevano visualizzare e scaricare, senza superare alcuna procedura di autenticazione, i dati contenuti nei referti: nome, cognome, codice fiscale, indirizzo e anamnesi dei pazienti. Si tratta di dati relativi alla salute, che il Regolamento europeo (Regolamento (UE) 2016/679, GDPR) colloca tra le categorie particolari di dati e che richiedono le tutele più elevate.

Che cos’è una vulnerabilità IDOR

IDOR sta per Insecure Direct Object Reference, cioè riferimento diretto e non protetto a un oggetto. Succede quando un’applicazione web identifica un documento, un record o un file con un valore prevedibile, per esempio un numero progressivo nell’indirizzo, e quando qualcuno lo richiede non controlla se ha il diritto di vederlo. Se il referto del paziente A ha un indirizzo che termina con un certo numero, chi prova il numero successivo o precedente ottiene il referto del paziente B.

Non servono strumenti particolari né competenze da programmatore: basta un normale browser. Per questo le vulnerabilità IDOR sono tra le più pericolose nei portali che espongono documenti personali. Il difetto non sta nel collegamento inviato per email in sé, ma nel fatto che il server consegna il file a chiunque conosca o indovini l’indirizzo, senza verificare l’identità di chi lo chiede e senza legare il documento all’utente autorizzato.

Le patch mancanti

Secondo il Garante la società informatica avrebbe dovuto dotare il portale delle ultime patch di aggiornamento, che avrebbero impedito lo sfruttamento della vulnerabilità. Non averlo fatto è stato qualificato come una carenza tecnica e organizzativa che ha determinato la violazione dei dati. Nel provvedimento n. 754 l’Autorità ricostruisce che l’aggiornamento è stato installato solo circa due mesi dopo il rinnovo del contratto con il Centro e dopo l’avvio del procedimento nei confronti di quest’ultimo, e respinge le difese della società, compresa quella secondo cui la piattaforma era di sola visualizzazione dei referti e non un sistema di refertazione.

I referti conservati oltre i 45 giorni

Durante l’istruttoria è emersa una seconda criticità. A causa di un malfunzionamento della funzione di cancellazione automatica dei referti, o di un errore nel processo di verifica dei tempi di memorizzazione, la piattaforma conservava i referti oltre il termine di 45 giorni previsto dalla disciplina privacy, in violazione del principio di limitazione della conservazione.

Il termine viene dalle Linee guida del Garante in tema di referti on-line (provvedimento del 19 novembre 2009, pubblicato nella Gazzetta Ufficiale n. 288 dell’11 dicembre 2009), richiamate nel provvedimento n. 764: quando il paziente può collegarsi al sito della struttura per scaricare o visualizzare il referto, il documento deve restare disponibile per un periodo non superiore a 45 giorni. Il provvedimento ricorda che cautele analoghe sono previste dal d.P.C.M. 8 agosto 2013 sulla consegna dei referti tramite web, posta elettronica certificata e altre modalità digitali da parte delle aziende sanitarie.

Perché sono stati sanzionati sia il centro sia il fornitore

Il punto più utile del caso, per le strutture sanitarie, è la ripartizione delle responsabilità tra chi offre il servizio al paziente e chi gestisce la tecnologia.

Il centro radiologico, titolare del trattamento

Il Centro è il titolare del trattamento: decide finalità e mezzi della consegna dei referti online. Nel provvedimento n. 764 il Garante ha respinto la tesi secondo cui la responsabilità ricadeva soltanto sul fornitore: avere affidato a MedStore manutenzione e assistenza tecnica non esonera il Centro, che avrebbe dovuto svolgere attività di vigilanza, controllo o revisione anche sulla sicurezza dei dati trattati dal fornitore per suo conto. Il Garante ha dichiarato la violazione degli articoli 5, paragrafo 1, lettere e) ed f) (limitazione della conservazione e integrità e riservatezza), 25 (protezione dei dati fin dalla progettazione e per impostazione predefinita) e 32 (sicurezza del trattamento) del GDPR, e ha applicato la sanzione di 16.000 euro.

La software house, responsabile del trattamento

MedStore era stata designata dal Centro responsabile del trattamento, ai sensi dell’articolo 28 del GDPR, per l’hosting, la gestione e la manutenzione della piattaforma usata per mettere i referti online a disposizione dei pazienti. Il responsabile ha obblighi propri: deve adottare tutte le misure di sicurezza richieste dall’articolo 32 (articolo 28, paragrafo 3, lettera c). Nel provvedimento n. 754 il Garante ha accertato la violazione degli articoli 5, paragrafo 1, lettera f), e 32 del GDPR e ha applicato la sanzione di 12.000 euro, tenendo conto anche di un precedente provvedimento nei confronti della stessa società.

La tempestiva applicazione degli aggiornamenti e una corretta e costante vigilanza sulle infrastrutture informatiche costituiscono obblighi di legge imprescindibili per garantire la reale tutela dei dati sanitari. (Garante per la protezione dei dati personali, Newsletter del 12 novembre 2026)

Chi è interessato

Il principio vale per qualunque organizzazione che metta a disposizione documenti personali attraverso un portale web, non solo in sanità. Nel settore sanitario riguarda in particolare:

• radiologie e centri di diagnostica per immagini, laboratori di analisi, poliambulatori e studi specialistici che consegnano referti online o via link inviato per email;
• case di cura e strutture accreditate che offrono un’area riservata per il download di referti, lettere di dimissione o altri documenti clinici;
• software house e fornitori IT che sviluppano, ospitano o mantengono questi portali come responsabili del trattamento;
• chi segue privacy e sicurezza nella struttura: direzione, responsabile della protezione dei dati (DPO), referenti informatici.

Cosa conviene fare: le buone pratiche

Le indicazioni che seguono non sono prescrizioni contenute nei due provvedimenti: sono buone pratiche che il caso rende evidenti, utili per verificare il proprio sistema di consegna dei referti e il rapporto con il fornitore.

1. Provare il proprio portale come farebbe un estraneo. Verificare con il fornitore che ogni referto sia consegnato solo dopo l’autenticazione del paziente o con credenziali o codici legati a lui, e che il sistema controlli a ogni richiesta che il documento appartenga a chi lo chiede. Gli identificativi nell’indirizzo non devono essere numeri progressivi o prevedibili.
2. Tenere aggiornato il software. Chiedere al fornitore quale versione è in uso, quali patch di sicurezza sono disponibili e quando vengono installate. Le patch di sicurezza non dovrebbero dipendere da rinnovi contrattuali o da richieste occasionali.
3. Controllare i tempi di conservazione. Verificare che i referti online siano rimossi entro i 45 giorni e che la cancellazione automatica funzioni davvero, con controlli periodici e non solo sulla carta.
4. Rivedere la nomina del responsabile del trattamento. Il contratto o atto di designazione ex articolo 28 dovrebbe indicare con chiarezza misure di sicurezza, gestione degli aggiornamenti, tempi di intervento, obbligo di segnalare subito incidenti e vulnerabilità e diritto della struttura di fare verifiche.
5. Esercitare la vigilanza. Pianificare audit periodici sul fornitore e test di sicurezza sul portale (per esempio un vulnerability assessment), conservando traccia dei controlli svolti: il titolare deve poter dimostrare di aver vigilato.
6. Prepararsi agli incidenti. Avere una procedura per valutare e, quando ne ricorrono i presupposti, notificare al Garante una violazione dei dati personali entro 72 ore dalla scoperta (articolo 33 del GDPR) e comunicarla agli interessati nei casi previsti (articolo 34).
7. Coordinare privacy e cybersicurezza. Per le strutture rientranti nella disciplina NIS2 questi controlli si affiancano alle misure di sicurezza e alla gestione della catena di fornitura richieste dal decreto legislativo 4 settembre 2024, n. 138: ne parliamo nell’articolo NIS2 in sanità: le scadenze di ottobre 2026 e cosa deve fare una struttura sanitaria.

Domande frequenti

Perché il Garante ha sanzionato il centro radiologico di Matera?

Perché il portale dei referti online permetteva a chiunque di vedere e scaricare i referti di altri pazienti, senza autenticazione, cambiando la sequenza numerica finale dell’URL ricevuto via email, e perché i referti restavano online oltre i 45 giorni previsti. Con il provvedimento n. 764 del 7 ottobre 2026 il Garante ha applicato al Centro Radiologico Madonna della Bruna una sanzione di 16.000 euro.

Che cos’è una vulnerabilità IDOR?

IDOR significa Insecure Direct Object Reference. È un difetto delle applicazioni web per cui un documento è individuato da un valore prevedibile, come un numero nell’indirizzo, e il sistema lo consegna senza verificare se chi lo chiede è autorizzato. Cambiando quel valore si accede ai documenti di altre persone con un normale browser.

Perché è stata sanzionata anche la software house?

Perché era stata designata dal Centro responsabile del trattamento per hosting, gestione e manutenzione della piattaforma e, come tale, doveva adottare misure di sicurezza adeguate. Secondo il Garante avrebbe dovuto applicare le ultime patch di aggiornamento, che avrebbero impedito lo sfruttamento della vulnerabilità. Con il provvedimento n. 754 del 7 ottobre 2026 le è stata applicata una sanzione di 12.000 euro.

Se il portale è gestito dal fornitore, la struttura sanitaria è comunque responsabile?

Sì. La struttura è titolare del trattamento e, secondo il Garante, affidare manutenzione e assistenza a un fornitore non la esonera: deve vigilare, controllare o verificare anche la sicurezza dei dati che il fornitore tratta per suo conto. Nel caso di Matera sono stati sanzionati sia il Centro sia la software house.

Per quanto tempo un referto può restare disponibile online?

Le Linee guida del Garante in tema di referti on-line del 19 novembre 2009 prevedono che, quando il paziente scarica o visualizza il referto dal sito della struttura, il documento resti disponibile per non più di 45 giorni. Nel caso di Matera la cancellazione automatica non funzionava e i referti restavano online oltre questo termine.

Cosa deve controllare subito una struttura che consegna referti online?

Come buona pratica: che ogni referto sia accessibile solo al paziente autenticato e non indovinando l’indirizzo, che il software abbia le patch di sicurezza aggiornate, che i referti siano cancellati entro 45 giorni, che la nomina del fornitore come responsabile del trattamento disciplini sicurezza, aggiornamenti e segnalazione degli incidenti, e che la struttura svolga e documenti verifiche periodiche.

L’Osservatorio Sanità del Centro Studi SoftwareEngine continuerà a seguire i provvedimenti del Garante che riguardano la sicurezza dei dati sanitari e la consegna dei referti digitali.

Fonti

• Garante per la protezione dei dati personali – Newsletter del 12 novembre 2026, «Centro radiologico di Matera, resi pubblici i dati dei pazienti»
• Garante per la protezione dei dati personali – Provvedimento n. 764 del 7 ottobre 2026 (Centro Radiologico Madonna della Bruna), doc. web n. 10311455
• Garante per la protezione dei dati personali – Provvedimento n. 754 del 7 ottobre 2026 (MedStore Saronno Srl), doc. web n. 10312186
• Garante per la protezione dei dati personali – Linee guida in tema di referti on-line, 19 novembre 2009, doc. web n. 1679033