Podstawa prawna naruszenia
Art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 32 ust. 1, art. 32 ust. 2 RODO.
Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.
Przyczyna naruszenia
Capio St. Görans Sjukhus AB naruszyło przepisy dotyczące ochrony danych osobowych ze względu na brak przeprowadzenia analizy potrzeb i ryzyka przed przyznaniem uprawnień dostępu do systemów informatycznych zawierających dane pacjentów.
Opis wydarzeń
- Tło: Szwedzki organ nadzorczy (Datainspektionen) przeprowadził kontrolę w Capio St. Görans Sjukhus AB 3 kwietnia 2019 roku.
- Stwierdzone naruszenia:
- Brak przeprowadzenia analizy potrzeb i ryzyka przed przyznaniem uprawnień dostępu do systemów Cambio Cosmic, Nationell patientöversikt (NPÖ) i TakeCare.
- Przyznanie użytkownikom uprawnień dostępu do danych pacjentów bez odpowiednich ograniczeń.
- Stwierdzono, że ponad 2700 pracowników miało dostęp do informacji dotyczących prawie 490 000 pacjentów, a ponad innych 600 pracowników miało dostęp do danych dotyczących około 3 milionów pacjentów znajdujących się w programie TakeCare.
- Działania podjęte przez Capio St. Görans Sjukhus AB:
- Capio St. Görans Sjukhus AB twierdziło, że wcześniej przeprowadziło analizy potrzeb i ryzyka, jednak nie były one zachowane.
- W odpowiedzi na kontrolę, Capio St. Görans Sjukhus AB przedstawiło nowe dokumenty dotyczące analiz potrzeb i ryzyka, jednak nie spełniały one wymogów prawnych.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Przeprowadzenie i dokumentowanie analiz potrzeb i ryzyka: Przeprowadzanie i dokumentowanie analizy potrzeb i ryzyka dla systemów informatycznych i aplikacji.
- Indywidualne przyznawanie uprawnień: Przyznawanie każdemu użytkownikowi indywidualnych uprawnień dostępu do danych osobowych powinno być ograniczone do niezbędnego minimum i oparte na przeprowadzonej analizie potrzeb i ryzyka skorelowanej ze stanowiskiem.
- Regularne przeglądy i aktualizacje: Regularne przeglądanie i aktualizowanie analizy potrzeb i ryzyka oraz przyznanych uprawnień w celu zapewnienia zgodności z przepisami dotyczącymi ochrony danych osobowych.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
