Не приемам налагането на глоби на жертвите, когато няма доказано съдействие на хакера
Ирландската Комисия за защита на данните (DPC) обяви на 15 юни окончателното решение по разследването на болницата Midlands Regional Hospital Tullamore:
Комисията за защита на данните обяви окончателното си решение след разследване на атака с ransomware срещу лабораторната информационна система в Регионалната болница Мидландс в Туламор, окръг Офали. Пробивът е открит на 14 ноември 2018 г. Нападателите са получили достъп до компютри, които са съхранявали и обработвали лабораторни резултати от диагностични тестове на пациенти, и са използвали този достъп, за да криптират личните данни на пациентите.
Разследването на DPC разгледа техническите и организационните мерки на HSE за гарантиране на сигурността на обработката на лични данни в атакуваните системи. То разгледа и спазването на GDPR от страна на HSE във връзка с договорите ѝ с доставчици на услуги, като например обработващи данни от трети страни, регистъра на дейностите по обработка и изискването за уведомяване на лица, засегнати от високорискови нарушения.
Решението на DPC, което беше съобщено на HSE на 11 юни 2026 г., установява, че администраторът:
- нарушил принципа за цялостност и поверителност по член 5(1)(f) от GDPR, като не е осигурил подходяща сигурност на личните данни, свързани с обработката на личните данни на пациентите, чрез използване на подходящи технически и организационни мерки;
- нарушил член 28 от GDPR, като не гарантира, че споразуменията с трети страни, които обработват лични данни от негово име, включват достатъчни гаранции, за да се гарантира, че обработването е в пълно съответствие с GDPR и че правата на субектите на данни са защитени;
- Нарушил член 30 от GDPR, като не е разполагал с пълен и съответстващ на изискванията запис на дейността по обработка към момента на нарушението;
- нарушил член 32(1) от GDPR, като не е внедрил подходящи технически и организационни мерки за осигуряване на ниво на сигурност, съответстващо на риска, породен от обработката на лични данни в системите, засегнати от атаката с ransomware; и
- е нарушил член 34 от GDPR, като не е предоставил на засегнатите от нарушението лица цялата информация, изисквана от този член.
В светлината на посочените по-горе нарушения, DPC:
- отправя официално предупреждение на HSE;
- налага глоба на HSE с 300 000 евро за нарушения на членове 5(1)(f) и 32(1) от GDPR; и
- разпорежда на HSE да въведе определени политики и процедури, предназначени да гарантират подходяща сигурност на обработката на лични данни.
Заместник-комисарят на DPC, Греъм Дойл, коментира: „HSE изчисли, че личните данни на приблизително 84 000 души са били засегнати от това нарушение. Въпреки че няма ясни доказателства, че нападателите са откраднали клинични данни, съдебномедицинският доклад за нарушението не е в състояние да изключи възможността за подобно действие. Чувствителният характер на личните данни и големият брой потенциално засегнати лица представляват риск за клиничните грижи за пациентите, както и за разкриването и злоупотребата с техните лични данни.“
DPC признава значителните подобрения, постигнати от HSE през периода от време след нарушението, както и ангажимента им за непрекъснати подобрения.
DPC ще публикува пълното решение своевременно.