Надзорният орган наложи като глоба максималният размер от 100 хиляди полски злоти
Полският надзорен орган за защита на данните (UODO) глоби със 100 000 PLN (около 23 000 €) министъра на здравеопазването за разкриване на данни от информационната система.
Министърът на здравеопазването, като администратор на данни, обработвани в електронната система, извлича данни от нея и ги публикува в една от социалните мрежи. Постът в Twitter (сега X) съдържа информация за лекар, издал рецепта за психотропно лекарство. Така министърът на здравеопазването неправомерно е разкрил данни. След провеждане на административно производство председателят на UODO издава решение за налагане на административна глоба в размер на 100 000 злоти на министъра на здравеопазването.
Случаят е от август миналата година и полски медии коментират, че сега глобата трябва да се плати от бюджета на новия министър на здравеопазването.
– Това е максималното наказание за предприятие от публичния сектор. В решението UODO подчерта, че ако не беше законоустановеният лимит на глобата, тя би била много по-висока – каза Якуб Грошковски, заместник-председател на Службата за защита на личните данни.
В хода на производството UODO установява, че администратор на разкритите данни е министърът на здравеопазването като орган, тъй като именно той е снабден със специфични права, позволяващи му достъп до данните, обработвани в посочената система в строго определени случаи и за конкретни цели. Данните на лекаря са разкрити в нарушение на разпоредбите на GDPR и специфични национални разпоредби, чието спазване е отговорност на администратора на данни, т.е. министъра на здравеопазването.
Според UODO мястото на публикуване на личните данни е без значение, тъй като министърът на здравеопазването не е имал право да ги публикува по никакъв начин. Освен това целите, за които е упълномощен да го обработва, са строго определени в Закона за информационната система в здравеопазването.
В същото време надзорният орган отбелязва в решението си, че засегнатото от нарушението лице може да търси правата си както пред граждански съд, така и да подаде жалба до председателя на Службата за защита на личните данни срещу неправомерното обработване на неговите лични данни от Адам Ниедзилски, действащ „частно“ като физическо лице. Това е тогавашният министър на здравеопазването. Сега ведомството се ръководи от Изабела Лещина.
Производството на UODO се отнася за нарушение на защитата на личните данни не само във връзка с разкриването на данни от един от регистрите, но и за нарушаване на правилата за сигурност, свързани с получаването на тези данни от системата и начина на предаването им на министъра на здравеопазването.
В решението си UODO посочва, че данните, получени от регистъра, са прехвърлени с помощта на WhatsApp, което също създава възможност за загуба на контрол върху тези данни, включително тяхната сигурност. Този комуникационен канал не само не беше посочен в анализа на риска, извършен от администратора, но не се препоръчва за комуникация в публичната администрация поради факта, че собственикът на този месинджър вече е наказан от ирландския надзорен орган за, inter alia, липса на прозрачност при обработката на лични данни.
Министърът на здравеопазването не само не е осигурил адекватно ниво на сигурност на данните, но и неправилно е уведомил субекта на данните за нарушението. В тази информация липсва дори описание на възможните последици от нарушение на защитата на данните или мерките за минимизиране на отрицателните ефекти от нарушението.
При налагане на наказанието надзорният орган взема предвид както умишления характер на нарушението, така и липсата на адекватни действия от страна на администратора след инцидента. Освен изтриването на публикацията в социалните мрежи не бяха предприети никакви действия, като извинение на лекаря, изразяване на съжаление или публично признание на грешката.
UODO не намира основания да вземе предвид смекчаващи вината обстоятелства, които да повлияят на окончателното наказание, наложено на министъра на здравеопазването. Използването на коригиращи мерки, различни от глобата, не би гарантирало, че администраторът няма да извърши допълнителна небрежност в бъдеще.
Ако съдът потвърди глобата, министерството ще потърси чрез регресен иск парите от бившия министър, пише полската агенция PAP.