Royal Cornwall NHS, data breach su 8.003 persone: il peso sul personale della helpline

• Un file Excel in risposta a una FOIA ha esposto dati sanitari di 8.003 persone del Royal Cornwall NHS Trust
• Il file è rimasto online 33 mesi; 340 accessi nei 12 mesi tracciati dai log
• Helpline attivata con un giorno di preavviso: personale senza formazione, durata da 2 a 11 settimane
• Introdotti password sui file Excel, approvazione dell'information governance e conversione in CSV

Il personale del Royal Cornwall Hospitals NHS Trust, arruolato in una helpline dopo l’esposizione online dei dati sanitari di colleghi, ha subito un «serio impatto emotivo». Lo afferma una revisione indipendente pubblicata a quasi un anno dalla comunicazione della violazione, che ha coinvolto 8.003 persone tra dipendenti attuali e passati e lavoratori esterni al trust.

Cosa è successo

Nel febbraio 2023 il trust ha rispondeva a una richiesta FOIA (Freedom of Information Act), che si ritiene provenisse da un giornalista interessato a uno studio sullo stress nel servizio sanitario. Il foglio di calcolo Excel allegato alla risposta è stato caricato nel registro pubblico delle divulgazioni. Conteneva dati su assenze per malattia e dati sanitari sensibili di 7.715 dipendenti, 288 lavoratori esterni e un piccolo numero di record non identificati.

Il file era in un formato che permetteva di accedere alle tabelle pivot da cui derivavano alcuni dati. Un cittadino ha scoperto l’esposizione nel novembre 2025. Il file è rimasto disponibile per 33 mesi.

Gli errori nel processo

• La richiesta è stata gestita dal team e-Rostering e non dalla People Information Unit, che ha competenza su set di dati complessi.
• Il team riteneva, a torto, di aver rimosso i dati sensibili.
• Un addetto FOI non ha eseguito il Document Inspector di Excel o non ne ha seguito le indicazioni. Lo strumento segnala tabelle pivot e dati nascosti in cache, ma non stabilisce se siano sensibili né li elimina automaticamente.
• Non è stata fatta la conversione in PDF prevista dalle istruzioni. Secondo gli investigatori impedisce di risalire ai record, ma non garantisce l’assenza di dati nascosti.
• All’epoca le linee guida non richiedevano la conversione in CSV, che avrebbe eliminato tabelle pivot e cache.
• L’approvazione finale si concentrava sul contenuto della risposta e sugli aspetti di immagine, presumendo che i dati fossero già stati ripuliti.

I log coprivano solo i 12 mesi precedenti la segnalazione e mostrano 340 accessi al file. Non è possibile sapere quanti abbiano portato alle tabelle pivot, né se fossero accessi umani o di web crawler.

Il peso sulla helpline

I membri del team di clinical governance hanno saputo con un solo giorno di anticipo che avrebbero gestito la helpline. Hanno seguito una breve formazione. Le chiamate sono arrivate pochi minuti dopo l’avvio e alcuni non avevano finito di leggere il copione, arrivato 30 minuti prima.

Gli operatori hanno gestito telefonate con rabbia e angoscia, anche di persone potenzialmente a rischio per violenza domestica. Hanno dovuto valutare questioni di tutela senza formazione né procedure definite. Molti hanno scoperto di essere tra gli interessati mentre lavoravano già alla helpline. Dovevano inoltre mantenere le mansioni abituali, con weekend e ore extra. Per la revisione, la situazione ha messo «un significativo onere emotivo» su persone non preparate né supportate. Un dipendente l’ha descritta così: «È tipico dell’NHS, va avanti grazie alla buona volontà».

La helpline doveva restare attiva due settimane a dicembre 2025. A causa del volume di chiamate è stata chiusa dopo 11 settimane, a febbraio 2026.

Le misure adottate

• Protezione con password obbligatoria per ogni cartella Excel allegata a risposte FOIA.
• Approvazione di un senior information governance officer per le risposte con fogli di calcolo, prima del via libera dei dirigenti.
• Linee guida riviste a novembre 2025 con conversione in CSV. Secondo gli investigatori il requisito non è entrato nella procedura operativa formale, e ne raccomandano l’aggiornamento.

Secondo la revisione, l’Information Commissioner’s Office ha chiuso il caso dopo l’attuazione delle raccomandazioni. Il trust si è detto profondamente dispiaciuto, ha pubblicato il rapporto integrale e continua a offrire supporto ai colleghi coinvolti.

Fonte: theregister · Foto: theregister