A norvég adatvédelmi hatóság őszi bírságai
Ahogy legutóbb is megtettük, ebben a cikkünkben ismét beszámolunk az egyik legaktívabb, a norvég adatvédelmi hatóság (Datatilsynet) aktuális bírságairól. Ahogy legutóbb, a mostani bírságok közül is az egyiket jogellenes kamerás megfigyelés miatt szabta ki a Hatóság, míg a másik esetben egy kórház adatbiztonságát találta elégtelennek.
Közterületi kamerafelvételek jogellenes kezelése
A Hatóság 2020. november 20-án 400.000 korona (~13,2M Ft) összegű bírsággal sújtotta a Norvég Vámhatóságot, mivel az számos hatósági kamera által rögzített felvételt jogellenesen kezelt. A Vámhatóság összesen több, mint 70 millió határátkelést rögzített megfelelő jogalap nélkül, az érintettek száma ezzel 7-8 millió közé tehető.
Ezen felül olyan fix és mobilkamerák felvételeit is kezelték, melyeket a Norvég Közútkezelő helyezett ki (tehát a Vámhatóságnak hozzáférési joga sem lehetett volna), és melyek nem határátkelést vagy azzal kapcsolatos eseményeket rögzítettek. A Datatilsynet ezek alapján megállapította, hogy a felvételek kezelése nem történhet a vámtörvény rendelkezései alapján. Szintén megállapította, hogy a Vámhatóság tudatában volt jogsértő magatartásának, mégsem tett a hibák kijavítására irányuló intézkedéseket, amely egy közhivataltól elfogadhatatlan.
A bírság összegét a Hatóság előzetesen 900.000 koronában állapította meg, majd ezt később csökkentette, miután megbizonyosodott róla, hogy a jogellenesen tárolt adatok a tároláson kívül nem kerültek egyéb célból valójában jogellenesen felhasználásra. Mivel a jogsértés 2018. előtt történt, a bírság kiszabására a személyes adatok kezelésére vonatkozó korábbi jogszabály rendelkezései voltak az irányadóak.
Bírság egy kórháznak különleges adatok veszélyeztetéséért
A Datatilsynet 2020. október 27-én jelentette be 750.000 koronás (~24,8M Ft) bírságát az Ostfold HF kórház ellen. Az ügy egy magánszemély panasza nyomán indult, és a 2013-2019 közötti időszakot vizsgálta.
Ezen időszak alatt a kórház informatikai rendszerében három különböző pácienslista volt elérhető, valamennyi alkalmazott számára korlátozás nélkül, ezen kívül az egyes hozzáférési jogosultságok nem lettek külön meghatározva, továbbá ezeket a listákat a kórház akkor is tárolta, mikor azokra már nem volt szükség.
A listák olyan személyek adatait tartalmazták, akiket a kórház elbocsátásra alkalmasként jelölt meg, és különleges adatokat is tartalmazott. A három lista az alábbi adatokat tartalmazta:
- A hazaengedhető páciensek listája (25-30 személy, 15 percenként frissítve)
- A hazaengedhető betegek korábbi listája 2013-2019 időszak között (13.800 beteg és 26.596 hazabocsátás adatai)
- Két pácienslista körülbelül 30 személy személyazonosító és egészségügyi ellátással adataival
A publikusan hozzáférhető listán megtalálható volt a páciensek:
- neve,
- születési ideje,
- közigazgatási és szervezeti hovatartozása, illetve
- más egészségügyi intézménybe való áthelyezéssel kapcsolatos adatai.
A fentebbi mulasztások figyelembevételével a Datatilsynet döntésében megállapította, hogy az Ostfold HF kórház nem hozta meg a szükséges biztonsági intézkedéseket az általa kezelt adatok biztonsága érdekében, így nem tett eleget többek között a GDPR 32. cikkében foglaltaknak.
A kórházat a hatóság a bírság megfizetésén túl kötelezte megfelelő biztonsági intézkedések meghozatalára, valamint azok rendszeres felülvizsgálatára és annak biztosítására, hogy az abban meghatározott biztonsági szabályok és intézkedések betartásra kerülnek.
