Operator medical sactionat pentru divulgarea neautorizata si accesul neautorizat la datele cu caracter personal

Autoritatea Nationala de Supraveghere a finalizat in februarie o investigatie la operatorul S.C. Medicover S.R.L. si a constatat incalcarea dispozitiilor art. 32 alin. (1) lit. b) si alin. (2) si (4) din Regulamentul General privind Protectia Datelor.

Ca atare, operatorul S.C. M. S.R.L. a fost sanctionat contraventional cu amenda in cuantum de 9.749,6 lei (echivalentul a 2000 EURO).

Investigatia a fost demarata ca urmare a transmiterii de catre operator a unor notificari succesive de incalcare a securitatii datelor cu caracter personal, prin care s-a semnalatdivulgarea neautorizata si accesul neautorizat la datele cu caracter personal precum: nume si prenume, CNP, serie si nr. CI, adresa CI, adresa de corespondenta, telefonul de contact si e-mail, respectiv nume si date privind starea de sanatate, transmisealtor persoane fizice decat destinatarii, la adresa de e-mal sau adresa postala.

In urma investigatiei, autoritatea de supraveghere a constatat ca operatorulnu a implementat masuri tehnice si organizatorice adecvate pentru a asigura faptul ca orice persoana fizica care actioneaza sub autoritatea operatorului si care are acces la date cu caracter personal nu le prelucreaza decat la cererea operatorului, fapt ce a condus la divulgarea neautorizata si accesul neautorizat la datele cu caracter personal transmise altor persoane fizice decat destinatarii, la adresa de e-mail sau adresa postala.

De asemenea, operatorului i-au fost aplicate si urmatoarelemasuri corective:

• revizuirea si actualizarea masurilor tehnice si organizatorice implementate ca urmare a evaluarii privind riscul pentru drepturile si libertatile persoanelor, inclusiv a procedurilor de lucru referitoare la protectia datelor cu caracter personal, precum si implementarea unor masuri privind instruirea periodica a persoanelor care actioneaza sub autoritatea sa, referitor la obligatiile ce le revin conform prevederilor RGPD, inclusiv cu privire la riscurile pe care le comporta prelucrarea datelor cu caracter personal, in functie de specificul activitatii, inclusiv a procedurilor de lucru referitoare la protectia datelor cu caracter personal si instruirea personalului propriu;


• identificarea si implementarea unor masuri pentru a se asigura ca datele cu caracter personal prelucrate sunt exacte si actualizate, avand in vedere scopurile pentru care sunt prelucrate, iar cele inexacte sa fie sterse sau rectificate fara intarziere (spre exemplu, un mecanism de verificare a validitatii adresei de e-mail la momentul colectarii).