Решение на исландския надзорен орган за защита на данните за нарушаване на GDPR
Исландският надзорен орган (Persónuvernd) наложи глоба от 12 000 000 ISK на здравната служба като администратора на лични данни поради слабост в сигурността на информационния уебсайт Heilsuveru.
Службата съобщи за пробив в сигурността, когато двама души успяват да видят данни, които не им принадлежат. От една страна, това се дължи на слабост в секцията за съобщения на Heilsuveru, което означава, че чрез промяна в адреса влязъл потребител може да получи достъп до чужди съобщения.
Слабостта позволява на потребители в секцията за грижи за майчинство на Heilsuvera неоторизиран достъп в системата за медицински досиета и възможност да се видят прикачените файлове на други лица в системата за медицинска документация на съответната институция чрез промяна на URL адреса. Според надзорния орган това е нарушение на изискванията за сигурност на информацията и компрометиране на мерките за безопасност, взети в Heilsuvera.
При определяне на размера на глобата е преценена тежестта на нарушенията и чувствителният характер на достъпената информация, нейния обхват, както и противоречивите и фактически неверни обяснения, получени по време на разследването на случая.
Надзорният орган съобщава, че администраторът е нарушил точка „е“ от параграф 1 на чл. 5, чл. 25 и букви „б“ и „г“ от параграф 1 на чл. 32 на Регламент (ЕС) 2016/679. Persónuvernd се позовава и на чл.83 от регламента, че нарушенията на тези разпоредби могат да доведат до административни глоби.
В същото време са оценени и действията на администратора трябва да бъдат взети под внимание, за предотвратяване на вредните последици от недостатъчната сигурност в Heilsuveru.
По време на производството глобата е увеличена спрямо първоначално определената, като в края на проверката административната глоба е определена на 12 000 000 ISK.
Смята се, че това е разумната санкция за това, че здравните власти не са осигурили адекватно сигурността на личната информация в раздела за съобщения на уебсайта Heilsuveru първоначално от 2015 г. до 8 юни 2020 г.
Здравната служба нарушава същите разпоредби от септември 2019 г. до 8 юни 2020 г., когато предоставя достъп в секцията за грижи за майките на Heilsuvera до данни в системите за здравни досиета на Южния здравен институт.
Глобата трябва да бъде платена на хазната в рамките на два месеца от датата на решението.