Pazienti coinvolti (circa)
Sanzione amministrativa GDPR
Condanna definitiva dell’autore
Ritardo nella notifica della violazione
Abstract
Vastaamo era un centro privato di psicoterapia finlandese fondato nel 2008, con una rete di sedi in tutto il Paese e un sistema informativo dei pazienti gestito in proprio. Il server che ospitava quel sistema è rimasto raggiungibile da internet senza firewall dal 26 novembre 2017 al 13 marzo 2019, con una porta MySQL aperta e l’utente root del database privo di password. Almeno a dicembre 2018 e a marzo 2019 un attaccante vi ha avuto accesso e ha copiato i dati di circa 33.000 pazienti, comprese le note delle sedute. L’azienda ha notificato la violazione solo nel settembre 2020, quando è arrivata la richiesta di riscatto. Nell’ottobre dello stesso anno i ricatti sono stati indirizzati direttamente ai pazienti.
Il caso ha prodotto tre esiti che conviene tenere distinti. L’autorità di controllo finlandese ha inflitto a Vastaamo una sanzione di 608.000 euro per violazione dei principi di sicurezza e dell’obbligo di notifica. L’autore, Aleksanteri Kivimäki, è stato condannato in via definitiva a sei anni e undici mesi di reclusione. L’ex amministratore delegato, Ville Tapio, condannato in primo grado per un reato in materia di protezione dei dati, è stato assolto in appello nel dicembre 2025. Proprio questa assoluzione è la parte del caso più istruttiva per chi si occupa di conformità: separa il giudizio di adeguatezza delle misure, che il GDPR affida al titolare, dall’esistenza di un obbligo giuridico puntuale di adottarne una specifica.
GDPR, data breach, sanità, psicoterapia, art. 32, notifica della violazione, responsabilità penale, valutazione del rischio
Il contesto: un centro di psicoterapia e un database lasciato aperto
Vastaamo era una catena privata di centri di psicoterapia, attiva dal 2008. Come molte strutture sanitarie di medie dimensioni, gestiva in casa il proprio sistema informativo dei pazienti: anagrafiche, codici identificativi personali, dati di contatto e le note che i terapeuti redigevano dopo ogni seduta. Le note di psicoterapia riportano ciò che il paziente ha detto al terapeuta. Una volta diffuse, nessun rimedio successivo ne elimina il danno.
L’indagine tecnica commissionata da Vastaamo alla società di sicurezza Nixu, poi richiamata nella decisione dell’autorità di controllo, ha individuato la causa più probabile dell’intrusione in una configurazione elementare. Il server del sistema dei pazienti era esposto su internet senza la protezione di un firewall. La porta del database MySQL era aperta e l’account root, cioè l’utente con pieni poteri sul database, non aveva una password e poteva collegarsi da qualunque indirizzo IP. La situazione è durata dal 26 novembre 2017 al 13 marzo 2019.
Cronologia dell’incidente e della risposta
Le date che seguono sono quelle accertate dall’autorità di controllo e dai giudici finlandesi, o riportate dalle fonti giornalistiche indicate in bibliografia.
26 novembre 2017 – 13 marzo 2019: il server resta esposto
Il server del sistema informativo dei pazienti è raggiungibile da internet senza firewall, con la porta MySQL aperta e l’utente root del database senza password.
Novembre – dicembre 2018: il primo accesso
Il tribunale che ha giudicato l’autore colloca il primo accesso abusivo a novembre 2018. L’indagine tecnica ne accerta almeno uno a dicembre 2018. Per quel periodo non sono stati conservati log sufficienti a ricostruire con precisione i tempi.
Marzo 2019: il secondo accesso e la distruzione del database
In un giorno di marzo 2019 il database viene probabilmente cancellato e poi ripristinato. Sul server resta traccia di un messaggio di estorsione. Secondo l’autorità di controllo, da quel momento Vastaamo doveva essersi accorta della scomparsa dei dati e della loro possibile sottrazione.
28 settembre 2020: il ricatto all’azienda
L’attaccante contatta l’amministratore delegato e chiede circa 40 bitcoin, all’epoca intorno a 450.000 euro, per non pubblicare i dati. Vastaamo non paga e notifica la violazione all’autorità di controllo nel settembre 2020, circa diciotto mesi dopo i fatti di marzo 2019.
Ottobre 2020: il caso diventa pubblico e i ricatti arrivano ai pazienti
Il 21 ottobre 2020 la violazione viene resa pubblica. Nei giorni successivi i pazienti ricevono messaggi di posta elettronica che chiedono 200 euro in bitcoin, che salgono a 500 se il pagamento non avviene entro 24 ore, sotto minaccia di pubblicare le loro note di seduta. Su un sito raggiungibile tramite la rete Tor vengono pubblicate le cartelle di almeno 300 pazienti, alcune relative a minori. Pochi giorni dopo Tapio lascia l’incarico di amministratore delegato.
Febbraio – marzo 2021: il fallimento
Il tribunale distrettuale di Helsinki dichiara il fallimento di Vastaamo nel febbraio 2021. Nel mese successivo personale e servizi passano a un altro operatore, senza il database dei pazienti.
16 dicembre 2021: la sanzione dell’autorità di controllo
L’Ufficio del Garante finlandese per la protezione dei dati pubblica la decisione: un ammonimento del vice garante e una sanzione amministrativa di 608.000 euro inflitta dal collegio sanzionatorio.
Le carenze accertate
Nella versione precedente di questo articolo compariva un lungo elenco di vulnerabilità tecniche. Molte non trovano riscontro nelle fonti ufficiali e sono state eliminate. Le carenze accertate sono meno numerose e proprio per questo più istruttive, perché nessuna richiedeva tecnologie sofisticate per essere evitata. L’autorità di controllo ha osservato che le misure necessarie avrebbero potuto essere adottate senza impiegare risorse irragionevoli.
| Carenza accertata | Chi l’ha accertata | Presidio del GDPR pertinente |
|---|---|---|
| Server esposto su internet senza firewall per circa sedici mesi | Autorità di controllo, sulla base dell’indagine tecnica | Art. 5, par. 1, lett. f) e art. 32, par. 1, lett. b) |
| Utente root del database senza password, accessibile da qualunque indirizzo IP | Autorità di controllo | Art. 5, par. 1, lett. f) e art. 32, par. 1, lett. b) |
| Log insufficienti sul periodo delle intrusioni | Autorità di controllo | Art. 5, par. 2 e art. 33, par. 5 |
| Violazione nota da marzo 2019, notificata solo a settembre 2020 | Autorità di controllo | Art. 33, par. 1 e art. 34, par. 1 |
| Note di seduta e dati clinici conservati in chiaro, senza cifratura né pseudonimizzazione | Tribunale distrettuale di Helsinki (2023), decisione riformata in appello | Art. 32, par. 1, lett. a), che indica queste misure “se del caso” |
La terza colonna indica la norma che presidia ciascun aspetto. Non riproduce l’elenco degli addebiti formulati dall’autorità, per il quale si rinvia al paragrafo successivo. La distinzione conta: la mancata cifratura, per esempio, pesa sulla valutazione di adeguatezza delle misure, ma il giudice d’appello ha escluso che all’epoca costituisse un obbligo giuridico specifico la cui violazione potesse fondare una responsabilità penale.
La decisione dell’autorità di controllo finlandese
L’Ufficio del Garante finlandese ha ricondotto le carenze a tre ambiti: la sicurezza del trattamento, l’obbligo di notifica della violazione e la documentazione richiesta dal principio di responsabilizzazione. Il vice garante ha adottato un ammonimento, mentre il collegio sanzionatorio ha inflitto la sanzione di 608.000 euro.
Art. 5, par. 1, lett. f), GDPR – Integrità e riservatezza
Reg. UE 2016/679, art. 5, par. 1, lett. f)
I dati personali sono “trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali”.
Art. 33, par. 1, GDPR – Notifica all’autorità di controllo
Reg. UE 2016/679, art. 33, par. 1
Il titolare notifica la violazione all’autorità di controllo competente “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”.
Sul piano della notifica la decisione contiene l’affermazione più utile per chi organizza la conformità in una struttura sanitaria. Vastaamo sosteneva, in sostanza, che della violazione del 2019 erano al corrente solo alcune persone. L’autorità ha risposto che questa circostanza non esonera il titolare: spetta a lui predisporre procedure operative per l’obbligo di notifica e assicurarsi che vengano rispettate. L’omissione è stata qualificata come intenzionale e le violazioni nel loro complesso come estremamente gravi, anche per la loro durata.
Nella determinazione dell’importo l’autorità ha considerato attenuanti gli interventi con cui Vastaamo aveva cercato di ridurre il danno agli interessati. Ha considerato aggravanti la natura dei dati e le lacune nella documentazione della violazione del dicembre 2018. Un dettaglio spesso travisato riguarda il fallimento: l’autorità non ha dichiarato di aver ridotto la sanzione per questo motivo. Ha precisato che, nella procedura concorsuale, il credito per la sanzione è postergato e non riduce le somme disponibili per gli altri creditori, compresi i pazienti che chiedono il risarcimento. Al momento della pubblicazione la decisione non era definitiva.
⚠️ Ritardo nella scoperta e ritardo nella notifica
Il termine di 72 ore decorre dal momento in cui il titolare viene a conoscenza della violazione. Nel caso Vastaamo l’autorità ha ritenuto che la conoscenza risalisse a marzo 2019, quando il database era stato distrutto e sul server era comparso un messaggio di estorsione. La notifica del settembre 2020 era quindi tardiva di circa diciotto mesi. Chi legge il caso come esempio di notifica tempestiva dopo la scoperta del ricatto ne rovescia il significato.
Il procedimento penale contro l’autore
L’autore dell’intrusione e dei ricatti è Aleksanteri Kivimäki, cittadino finlandese già condannato nel 2015, da minorenne, a due anni con sospensione condizionale per oltre cinquantamila reati informatici legati a una rete di computer compromessi. La polizia finlandese lo ha indicato come sospettato nell’ottobre 2022. È stato arrestato in Francia il 3 febbraio 2023, dove viveva con documenti falsi, ed estradato in Finlandia nello stesso mese.
Il 30 aprile 2024 il tribunale distrettuale di Länsi-Uusimaa lo ha condannato a sei anni e tre mesi di reclusione per accesso abusivo aggravato a sistema informatico, diffusione di informazioni lesive della vita privata, estorsione aggravata e tentata estorsione aggravata. Per numero di persone offese è, secondo lo stesso tribunale, il più grande processo penale della storia finlandese. Nel settembre 2025 la Corte d’appello di Helsinki lo ha scarcerato in attesa della decisione, tenuto conto della lunga custodia cautelare già sofferta.
Il 26 febbraio 2026 la stessa Corte d’appello ha aumentato la pena a sei anni e undici mesi, motivando con le dimensioni del caso, con l’accurata pianificazione dei reati per sottrarsi all’identificazione e con la sofferenza inflitta a un numero eccezionalmente elevato di persone vulnerabili. La pena è rimasta sotto il massimo di sette anni anche per gli accordi risarcitori conclusi con una parte delle vittime. Il 13 luglio 2026 la Corte suprema finlandese ha respinto la richiesta di ammissione al ricorso (R 1/2026/921) e la condanna è divenuta definitiva. Secondo la stampa finlandese Kivimäki non è in carcere ed è ricercato dalla polizia, che lo ritiene all’estero.
L’amministratore delegato: condanna in primo grado, assoluzione in appello
La vicenda di Ville Tapio, fondatore e amministratore delegato di Vastaamo fino all’ottobre 2020, è quella che merita più attenzione da parte dei DPO e degli organi di vertice delle strutture sanitarie. La procura lo ha accusato di un reato in materia di protezione dei dati per non aver garantito la sicurezza del sistema dei pazienti, chiedendo nove mesi di reclusione con sospensione condizionale.
Il 18 aprile 2023 il tribunale distrettuale di Helsinki lo ha condannato a tre mesi con sospensione condizionale. Secondo il tribunale Tapio non aveva assicurato la pseudonimizzazione e la cifratura dei dati trattati dal centro, così che le note di seduta e le informazioni cliniche potevano essere collegate direttamente all’identità dei pazienti. Il giudice ha definito la condotta particolarmente riprovevole per l’ampiezza della violazione e la natura delle informazioni. Ha concesso la sospensione soltanto in ragione dell’assenza di precedenti.
Il 18 dicembre 2025 la Corte d’appello di Helsinki lo ha assolto all’unanimità. Per quanto riportato dalla stampa, la Corte ha ritenuto che all’epoca dei fatti né il GDPR né la normativa sanitaria finlandese imponessero in modo espresso la cifratura o la pseudonimizzazione dei dati dei pazienti. Mancava quindi, secondo la Corte, un obbligo giuridico chiaro di adottare le specifiche misure indicate dall’accusa. Alla data di questo aggiornamento non risultano pronunce della Corte suprema su questo capo.
🔗 Perché l’assoluzione non contraddice la sanzione
L’art. 32, par. 1, del GDPR impone al titolare misure tecniche e organizzative adeguate al rischio, “che comprendono, tra le altre, se del caso”, la pseudonimizzazione e la cifratura. La formula lascia al titolare la scelta delle misure adeguate e gli chiede di saper dimostrare perché le ha scelte. Si presta a un giudizio amministrativo sull’adeguatezza, come quello che ha portato alla sanzione di 608.000 euro. Un’imputazione penale richiede invece un precetto sufficientemente determinato. Le due decisioni convivono: l’organizzazione ha violato il GDPR, ma il suo vertice non è stato ritenuto penalmente responsabile per non aver adottato una misura che la legge non imponeva in modo specifico.
🔴 Una lettura da evitare
Sarebbe un errore concludere che l’assoluzione renda facoltativa la cifratura dei dati sanitari. Se la norma lascia al titolare la scelta delle misure, la sua difesa, davanti all’autorità di controllo come davanti a un giudice civile, sta nella valutazione del rischio documentata che giustifica quella scelta. Una struttura che tratta note di psicoterapia senza cifrarle e senza aver mai valutato per iscritto se farlo resta esposta alla sanzione amministrativa e alle azioni di risarcimento degli interessati.
Lezioni per le strutture sanitarie
Le carenze di Vastaamo sono comuni a molte strutture sanitarie di piccole e medie dimensioni che gestiscono in proprio gestionali e server. Le indicazioni che seguono derivano direttamente da ciò che nel caso è mancato.
Sistemi e accessi
Organizzazione e documentazione
Conclusioni
Nel caso Vastaamo una configurazione sbagliata è rimasta tale per sedici mesi e la violazione è stata taciuta per diciotto. Autorità di controllo e giudici penali hanno risposto a domande diverse e sono arrivati a esiti diversi, ciascuno coerente con le norme che era chiamato ad applicare.
Tre punti da portare in una struttura sanitaria
1. Le misure che mancavano erano elementari. Un firewall, una password sull’utente amministratore del database, log conservati. L’autorità finlandese ha osservato che adottarle non avrebbe richiesto risorse irragionevoli.
2. La notifica dipende dall’organizzazione. Il termine di 72 ore decorre dalla conoscenza della violazione da parte del titolare. Il titolare risponde anche di ciò che le sue procedure non fanno emergere. La conoscenza limitata a poche persone non lo esonera.
3. La valutazione del rischio va documentata. L’assoluzione in appello dell’ex amministratore delegato mostra che il GDPR non impone misure specifiche in astratto. Proprio per questo il titolare deve poter dimostrare di aver valutato il rischio e scelto le misure di conseguenza.
Bibliografia e Fonti
Ufficio del Garante finlandese per la protezione dei dati (Tietosuojavaltuutetun toimisto). (2021). “Administrative fine imposed on psychotherapy centre Vastaamo for data protection violations“. Comunicato del 16 dicembre 2021.
Corte suprema finlandese (Korkein oikeus). (2026). “Korkein oikeus hylkäsi valituslupahakemuksen Vastaamon tietomurtoa ja sitä seuranneita kiristysrikoksia koskeneessa asiassa“. Comunicato del 13 luglio 2026, R 1/2026/921.
Helsinki Times. (2024). “Vastaamo hacker sentenced to six years, three months in prison“. Sentenza del tribunale distrettuale di Länsi-Uusimaa del 30 aprile 2024.
Yle News. (2026). “Appeals court tightens Kivimäki’s sentence in psychotherapy centre hacking case“. Sentenza della Corte d’appello di Helsinki del 26 febbraio 2026.
Helsinki Times. (2026). “Vastaamo hacker wanted after appeal rejected“. Luglio 2026.
Yle News. (2023). “Hacked therapy centre’s ex-CEO gets 3-month suspended sentence“. Sentenza del tribunale distrettuale di Helsinki del 18 aprile 2023.
Helsinki Times. (2025). “Court clears former Vastaamo CEO Ville Tapio of data protection charges“. Sentenza della Corte d’appello di Helsinki del 18 dicembre 2025.
Infosecurity Magazine. (2020). “Mental Health Patients Blackmailed by Data Thieves“. 27 ottobre 2020.
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (GDPR), artt. 5, 32, 33, 34 e 35.
La tua struttura sanitaria ha una procedura per le violazioni di dati?
Se operi in sanità o tratti dati sanitari, possiamo verificare insieme la configurazione dei sistemi, la procedura di notifica e la valutazione del rischio.
