Podstawa prawna naruszenia
Art. 32 RODO.
Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.
Przyczyna naruszenia
Stwierdzono, że Stichting OLVG nie spełniło wymogów dotyczących dwuskładnikowej autoryzacji oraz regularnej kontroli logów. W wyniku tego, OLVG nie podjęło odpowiednich środków technicznych i organizacyjnych w celu zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzanych danych osobowych.
Opis wydarzeń
- Wprowadzenie:
- Stichting OLVG to szpital kliniczny w Amsterdamie, który obsługuje rocznie około 500 000 pacjentów.
- Holenderski organ nadzorczy (AP) otrzymał dwa zgłoszenia o naruszeniu danych dotyczących dostępu pracowników i studentów do elektronicznych kartotek pacjentów.
- Proces dochodzenia:
- 17 kwietnia 2019 roku AP ogłosiło rozpoczęcie dochodzenia i skierowało pytania do OLVG.
- 22 maja 2019 roku przeprowadzono inspekcję na miejscu w OLVG, podczas której zademonstrowano system informatyczny szpitala.
- 10 lutego 2020 roku AP przesłało raport z wynikami dochodzenia do OLVG.
- 27 marca 2020 roku OLVG przedstawiło swoje stanowisko na piśmie, a 25 czerwca 2020 roku ustnie.
- Stwierdzone naruszenia:
- Dwuskładnikowa autoryzacja: Pracownicy OLVG mogli uzyskać dostęp do systemu szpitalnego jedynie za pomocą nazwy użytkownika i hasła, bez dodatkowego składnika autoryzacji (np. karty pracowniczej lub tokena).
- Kontrola logów: OLVG nie przeprowadzało regularnych kontroli logów, co uniemożliwiało wykrywanie nieautoryzowanego dostępu do danych pacjentów.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Wdrożenie dwuskładnikowej autoryzacji: Zaleca się, aby dostęp do systemu informatycznego lub aplikacji był możliwy tylko po uwierzytelnieniu za pomocą co najmniej dwóch składników (np. nazwa użytkownika i hasło oraz karta pracownicza).
- Regularna kontrola logów: Należy wprowadzić systematyczne i regularne kontrole logów, aby wykrywać i reagować na nieautoryzowany dostęp do danych osobowych.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu