GDPR: Acces neautorizat la datele cu caracter personal ale unei paciente si ale copilului sau

O unitate spitaliceasca a notificat Autoritatea nationala de supraveghere cu privire la producerea unui incident de incalcare a securitatii datelor cu caracter personal, prin completarea formularului privind incalcarea securitatii datelor cu caracter personal prevazut de Regulamentul (UE) 2016/679.

In fapt, prin intermediul unei sesizari anonime, unitatea spitaliceasca a fost informata ca o angajata din cadrul unei sectii a avut acces neautorizat la datele cu caracter personal ale unei paciente si ale copilului sau nou-nascut.

La data efectuarii investigatiei, Autoritatea nationala de supraveghere a constatat ca operatorul nu a luat masuri pentru a asigura ca orice persoana fizica care actioneaza sub autoritatea sa si are acces la date cu caracter personal nu le prelucreaza decat la cererea sa, cu exceptia cazului in care aceasta obligatie ii revine in temeiul dreptului Uniunii sau al dreptului intern si nu a implementat masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator riscului prelucrarii generat in special, in mod accidental sau ilegal, de divulgarea neautorizata sau accesul neautorizat la datele cu caracter personal stocate sau prelucrate intr-un alt mod.

Aceasta a condus la accesarea foii de observatie (date de contact, date de identificare, informatii personale, informatii medicale/sanatate si identificatori medicali) a unui nou nascut in Sectia Neonatologie a spitalului, de pe un cont de utilizator apartinand unui registrator medical din cadrul Sectiei Pediatrie.

In urma investigatiei efectuate, pentru incalcarea prevederilor art. 32 alin. (4) raportat la art. 32 alin. (1) si alin. (2) din Regulamentul (UE) 2016/679, Autoritatea nationala de supraveghere a dispus impotriva operatorului, urmatoarele masuri corective:

1. Efectuarea unei evaluari privind riscul pentru drepturile si libertatile persoanelor care sa cuprinda inclusiv incadrarea intr-un grad de risc, tinand seama de natura, domeniul de aplicare, contextul si scopurile prelucrarii.

2. Revizuirea si actualizarea masurilor tehnice si organizatorice implementate ca urmarea a evaluarii privind riscul pentru drepturile si libertatile persoanelor, inclusiv a procedurilor de lucru referitoare la protectia datelor cu caracter personal.