Il perimetro digitale di uno studio medico legale è più esteso di quanto il professionista percepisca. Un referto entra da un portale istituzionale, viene scaricato su un dispositivo, allegato a un'email, stampato, scansionato e finisce in una cartella che si sincronizza da sola: ogni passaggio è un punto in cui quel dato può essere perso, letto da chi non deve o alterato senza che nessuno se ne accorga.
Il fenomeno è ordinario. Tra gennaio 2024 e giugno 2026 l'Agenzia per la Cybersicurezza Nazionale ha censito «mediamente 10 eventi cyber al mese ai danni di strutture sanitarie, dei quali 2/3 circa ha dato luogo a "incidenti"», cioè con impatto effettivo sui servizi (documento del 13 agosto 2026). E il Garante privacy conta 1.901 violazioni notificate nel settore privato nel 2025, che «hanno interessato soprattutto piccole e medie imprese, professionisti e società».
Sul tema la Società Italiana di Medicina Legale e delle Assicurazioni ha pubblicato una serie in due parti dichiaratamente non tecnica. Questa guida occupa lo strato successivo e si limita a ciò che dipende dal professionista, che nel proprio studio è titolare del trattamento.
L'art. 32, par. 1, lett. b) del Regolamento (UE) 2016/679 impone di assicurare «su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento». I tre profili sono interdipendenti: un ransomware a doppia estorsione, che esfiltra i dati prima di cifrarli, li colpisce insieme.
Quello che si guarda per ultimo è l'integrità, perché è il solo che non fa rumore. Con il provvedimento n. 39 del 24 gennaio 2024 (docweb 9990640) il Garante ha sanzionato per 8.000 euro una software house sanitaria: un difetto del software di laboratorio aveva generato messaggi con identificativo paziente errato, propagati fino a 24 referti associati al paziente sbagliato. Nessuno aveva rubato nulla.
Ed è il profilo con la posta più alta per un medico legale: un dato corretto attribuito alla persona sbagliata produce un atto inutilizzabile, e arriva in sede peritale senza che nessuno l'abbia visto. Anche la disponibilità pesa, perché i termini per il deposito di una consulenza tecnica d'ufficio non si spostano se il gestionale è fermo.
Prima di ogni misura tecnica viene una mappa, e tre domande la mettono alla prova: se il portatile venisse rubato oggi, quali dati sarebbero esposti? Se il sistema principale si guastasse, lo studio prosegue? Se il servizio in rete fosse indisponibile, quali funzioni cadono?
I dati in questione sono, quasi per definizione, «dati relativi alla salute» ai sensi dell'art. 4, n. 15 del Regolamento, quindi categoria particolare ex art. 9: la natura del dato è un moltiplicatore di gravità in ogni valutazione di rischio. L'elenco serve anche a dimostrare, perché l'art. 5, par. 2 vuole il titolare «in grado di comprovare» il rispetto dei principi e l'art. 33, par. 3, lett. a) chiede, in caso di violazione, «le categorie e il numero approssimativo di interessati». È il censimento che regge una analisi ordinata della documentazione sanitaria, applicato ai contenitori invece che ai contenuti.
Il fraintendimento più costoso riguarda le cartelle che si allineano da sole. La sincronizzazione allinea più ambienti in tempo reale e propaga anche il danno: cancellazione accidentale e cifratura da malware si replicano fin dove la copia dovrebbe essere al sicuro. La #StopRansomware Guide di CISA lo scrive senza attenuazioni: «if local files are encrypted by an attacker, these files will be synced to the cloud, possibly overwriting unaffected data».
Il Regolamento nomina il risultato: l'art. 32, par. 1, lett. c) chiede «la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali». Sul come, le fonti convergono su tre requisiti: copia separata dall'ambiente di produzione, periodicità regolare e test di ripristino completo, che ACN prescrive come «test periodici di ripristino completo dei dati del backup».
Che il backup sposti l'esito anche sul piano degli adempimenti lo mostrano le Guidelines 01/2021 dell'EDPB: con copia pronta resta solo la documentazione interna; senza backup elettronico la notifica diventa dovuta; con backup cifrato insieme al resto, servono anche notifica e comunicazione. E due provvedimenti italiani lo confermano: alla ASL Napoli 3 Sud (docweb 9941232) il backup c'era, ma l'azienda «non disponeva di un piano di ripristino dei diversi servizi»; alla ASL di Matera (docweb 10251777) le credenziali della VPN «erano le stesse utilizzate per l'accesso ai sistemi di dominio».
Il NAS è dove molti studi tengono l'archivio storico delle perizie, e la ridondanza dei dischi viene letta come una copia di sicurezza. Il NIST classifica il RAID tra le misure di disponibilità (SP 800-12r1, § 7.2.2.2) e nella SP 800-34r1, § 5.1.6 chiude l'equivoco: i sistemi ad alta disponibilità «cannot be a replacement for a solid backup strategy, as a corruption of data on a system may propagate through an HA system». Il RAID protegge dal disco che si rompe; il file cancellato per sbaglio, la corruzione logica e la cifratura da ransomware li replica fedelmente su tutti i dischi.
Il secondo rischio è l'esposizione: l'accesso da fuori apre una porta sulla rete interna, e quella porta la trovano gli scanner automatici, senza sapere che dietro c'è un archivio sanitario. È la geometria del provvedimento n. 435 del 16 dicembre 2021 (docweb 9739609) a carico di un centro diagnostico privato, il cui server delle immagini era un normale PC Windows dentro la struttura e tuttavia «restituiva i metadati richiesti senza verificare l'identità e autenticare il soggetto che effettuava la richiesta». La raccomandazione ACN è di «analizzare la superficie esposta su Internet e limitarla ai soli servizi necessari».
Nel censimento ACN degli incidenti sanitari la tipologia più frequente è l'utilizzo di credenziali valide, al 15,7% dei casi: il vettore prevalente resta la credenziale. E l'account condiviso, prassi diffusa negli studi piccoli, è la forma in cui una sola credenziale compromessa apre tutto.
L'art. 32, par. 4 impone «che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso», e l'art. 2-quaterdecies del Codice privacy regola la designazione dei soggetti autorizzati. Sul piano deontologico l'art. 10 del Codice di deontologia medica FNOMCeO (2014) impone di informare «i collaboratori e discenti dell'obbligo del segreto professionale sollecitandone il rispetto»: con una credenziale unica quell'obbligo è inverificabile, perché non si può dire chi ha aperto un fascicolo. Nel provvedimento n. 423 del 2 dicembre 2021 (docweb 9734934) il Garante ha sanzionato un fornitore informatico che usava un'utenza amministrativa «in luogo di un'utenza nominale». Nella stessa direzione la raccomandazione ACN sul «principio del privilegio minimo».
L'altra metà della misura è il secondo fattore su tutto ciò che è raggiungibile da fuori, con credenziali diverse da quelle dei sistemi interni. Contestazione ricorrente: nell'attacco all'azienda ospedaliero-universitaria di Alessandria (docweb 10086523) «non era prevista una procedura di autenticazione informatica a più fattori (MFA) per l'accesso remoto in VPN»; nella casa di cura sanzionata per 30.000 euro (docweb 9734884) al portale delle immagini si arrivava in HTTP con «un'utenza di tipo amministrativo (admin) e password non robusta (admin)». Sono strutture ospedaliere, e l'elemento che riguarda anche lo studio più piccolo è un altro: nessuno di quei casi richiedeva tecnologia costosa per essere evitato. ACN chiede di «abilitare l'autenticazione multifattore per tutte le utenze, specie per le VPN», e l'assenza del secondo fattore sull'accesso remoto è il rilievo più ricorrente nei provvedimenti sanitari (docweb 10086523, 9941232, 10251777, 10074293).
Lo studio medico legale vive di comunicazioni attese: incarichi, notifiche, richieste di integrazione documentale, referti. Un avviso che simula la notifica di un referto si apre d'istinto, perché somiglia a ciò che arriva ogni giorno.
La misura è organizzativa. Il § 49 delle Guidelines 01/2021 dell'EDPB mette la formazione tra le contromisure, e la guida ACN ai dipendenti dice la stessa cosa in italiano. La regola operativa sta in due righe: davanti a un allegato o a un link inattesi, l'autenticità del mittente si verifica su un canale diverso da quello di arrivo, prima di aprire. Vale per la PEC e per un mittente che sembra un ufficio giudiziario o lo studio legale con cui è in corso un incarico di consulenza tecnica di parte.
Il Garante elenca «il furto o la perdita di dispositivi informatici contenenti dati personali» tra gli esempi di violazione. Basta una borsa lasciata in auto: una sola misura separa due esiti opposti dello stesso evento.
Nel Case 10 dell'EDPB due tablet rubati erano cifrati e spenti, con cancellazione remota eseguita: nessuna notifica e nessuna comunicazione. Nel Case 11 un notebook rubato non aveva «any password protection or encryption», e l'assenza di misure di base «enhances the risk level for the affected data subjects»: notifica e comunicazione entrambe dovute. Cambia soltanto se il disco era cifrato prima. La base è l'art. 34, par. 3, lett. a), che esclude la comunicazione all'interessato se erano attive misure «destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura». È l'unica misura che il Regolamento nomina per nome.
Vanno tenuti separati tre adempimenti, perché confonderli è l'errore più facile.
Sul lato pratico ACN raccomanda le funzionalità di cifratura native del sistema operativo, e la chiave di recupero va custodita in un luogo distinto dal dispositivo.
Il comportamento più frequente davanti a un sospetto incidente è anche il più dannoso: provare a diagnosticare e riparare da sé. La priorità è una sola, ed è il contenimento: isolare dalla rete i dispositivi coinvolti e chiamare un professionista qualificato prima di ogni altra operazione. È l'obiettivo che l'EDPB assegna alla formazione al § 49 delle Guidelines 01/2021: sapere «how to take the endpoint out of the network».
C'è anche una ragione di termini. Le Guidelines 9/2022 dell'EDPB fanno partire l'orologio quando il titolare ha «a reasonable degree of certainty» che un incidente ha compromesso dati personali, e al § 101 chiedono che dal primo istante il titolare «should not only seek to contain the incident but it should also assess the risk»: l'ora spesa a tentare una riparazione è sottratta a entrambe le cose. La preparazione minima si fa oggi: sapere chi si chiama e tenere quel numero scritto fuori dai sistemi che potrebbero essere indisponibili.
L'art. 33, par. 1 chiede di notificare la violazione all'autorità di controllo «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche». È un obbligo di tempestività con un tetto: oltre le 72 ore resta ammessa se corredata dei motivi del ritardo, e non è sempre dovuta, perché la valutazione del rischio spetta al titolare. Il canale è unico e telematico: dal 1° luglio 2021 (provvedimento n. 209 del 27 maggio 2021, docweb 9667201) si notifica dalla procedura sul portale dei servizi online dell'Autorità, che offre anche un modello facsimile utile a prepararsi e da non usare per notificare.
Segue l'adempimento che non ammette valutazioni: l'art. 33, par. 5 impone di documentare «qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati». L'EDPB lo definisce «an obligation independent of the risks pertaining to the breach», e il Garante scrive che «a prescindere dalla notifica» il titolare documenta tutte le violazioni «ad esempio predisponendo un apposito registro». Vale anche per l'incidente risolto in mezz'ora, ed è la voce che quasi nessuno studio ha.
L'obbligo di notificare resta al professionista anche quando l'incidente nasce dal sistema di un fornitore, che deve solo informarlo «senza ingiustificato ritardo» (art. 33, par. 2): «the legal responsibility to notify remains with the controller». Due canali da non confondere: la segnalazione al CSIRT Italia è volontaria e distinta dalla notifica al Garante; e il D.Lgs 138/2024 (NIS2) non si applica allo studio del libero professionista, perché l'art. 3, c. 2 limita l'ambito a chi supera i massimali della piccola impresa (raccomandazione 2003/361/CE: 50 occupati, 10 milioni di euro).
Una parte del perimetro non è nello studio. Portali istituzionali, gestionali in rete, servizi di posta: un attacco a uno di questi fornitori può fermare l'operatività dello studio senza alcun contributo del professionista alla causa dell'evento. Ad Alessandria gli attaccanti sono entrati proprio da lì, con l'utenza VPN «appartenente al personale del fornitore» (docweb 10086523). La delega, però, non sposta la responsabilità giuridica.
Il Garante lo scrive per esteso nel provvedimento sul centro diagnostico: aver affidato l'adempimento a un terzo «non lo esonera da responsabilità, in quanto lo stesso avrebbe dovuto svolgere attività di vigilanza e verificare l'assolvimento di tale obbligo, in ragione del fatto che il titolare ha una "responsabilità generale" sui trattamenti». Nemmeno il fornitore è al riparo: nello stesso incidente della casa di cura il Garante ha sanzionato la struttura come titolare (30.000 euro) e il suo fornitore informatico come responsabile (7.000 euro).
La scelta di un fornitore è quindi una misura di sicurezza: vale per il tecnico che entra nella rete, per la software house del gestionale e per ogni servizio che tocchi i fascicoli, incluso un software specialistico per la redazione delle perizie come Docsy.
Da tutto questo non deriva la necessità di diventare un tecnico. Il modo migliore di dirlo resta quello della SIMLA: «L'obiettivo non è trasformare il medico legale in un esperto informatico. È invece quello di renderlo un interlocutore consapevole del proprio tecnico di fiducia, in grado di porre domande concrete e di comprenderne le risposte».
Le tabelle che seguono sono le domande che il professionista pone a sé stesso e al proprio tecnico. La colonna centrale è la più importante, perché l'art. 32 non contiene una checklist di obblighi puntuali: le misure che elenca sono introdotte da «che comprendono, tra le altre, se del caso», e l'obbligo è di risultato più uno di dimostrabilità. Alcune misure sono nominate dalla norma come esempio tipico; una sola voce è un obbligo di legge senza eccezioni, ed è la documentazione delle violazioni. Le raccomandazioni ACN, ENISA ed EDPB richiamate sono rivolte a imprese e strutture sanitarie, e per lo studio valgono come buone pratiche trasferibili.
Restano le domande da porre a chi ha accesso ai dati dello studio.
Le risposte si leggono alla luce dell'art. 32, par. 3, secondo cui l'adesione a un codice di condotta approvato «può essere utilizzata come elemento per dimostrare la conformità»: per i produttori di software gestionale esiste quello approvato con provvedimento n. 618 del 17 ottobre 2024 (docweb 10075998).
Con lo stesso criterio va letta anche una piattaforma verticale: la pagina che descrive le misure di sicurezza di Docsy risponde a queste domande in forma verificabile, e va confrontata con le risposte di chiunque altro tocchi i fascicoli dello studio; per il fornitore di intelligenza artificiale il metodo di valutazione contrattuale è nella guida su privacy dei dati sanitari, AI e cloud.
Resta il confine tenuto dall'inizio: la sicurezza dentro uno strumento professionale è documentabile, il perimetro dello studio dipende invece da scelte che nessun fornitore può prendere al posto del professionista, e la responsabilità dell'elaborato resta interamente sua. Uno studio che sa dove sono i propri dati, con credenziali proprie per ciascuno e copie separate e verificate, è anche lo studio che sa cosa chiedere a Docsy e a qualunque altro strumento adotti.
Per vedere come Docsy documenta le misure di sicurezza applicate ai fascicoli peritali e come si inserisce in uno studio che vuole restare padrone del proprio perimetro, richieda una demo gratuita di Docsy.
