Kontekst Decyzji

Datatilsynet ujawnił, że otrzymał raport, który ujawnił problemy w Zealand Region. Okazało się, że pracownicy w Zealand Region mieli nieograniczony dostęp do list pacjentów obejmujących wszystkie szpitale Regionu poprzez platformę zdrowotną. Co szczególnie niepokojące, te listy pacjentów zawierały pełne dane osobowe, w tym numery ubezpieczenia społecznego, imiona i nazwiska oraz diagnozy pacjentów.

Wnioski Datatilsynet

W wyniku śledztwa Datatilsynet ustalił, że Zealand Region przyznał aż 16 322 użytkownikom dostęp do list pacjentów we wszystkich szpitalach Regionu. Taki rozległy dostęp, biorąc pod uwagę związane z nim ryzyka prywatności, znacząco odbiegał od wymaganych standardów bezpieczeństwa. Ponadto Datatilsynet odkrył, że system rejestrowania działań w Zealand Region nie potrafił właściwie rejestrować konkretnych danych osobowych, do których dostęp mieli poszczególni użytkownicy poprzez listy pacjentów.

W rezultacie Datatilsynet doszedł do wniosku, że Zealand Region nie ustanowił odpowiednich środków technicznych i organizacyjnych w celu udokumentowania i monitorowania potencjalnego nadużycia dostępu pracowników do danych osobowych. Podsumowując, Datatilsynet uznał, że sposób postępowania Zealand Region z danymi osobowymi nie jest zgodny z art. 32(1) RODO.

Więcej: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2023/sep/region-sjaelland-faar-alvorlig-kritik-for-manglende-sikkerhedsforanstaltninger-