Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat două investigații la doi operatori și a constatat încălcarea dispozițiilor art. 32 alin. (1) lit. b) și art. 32 alin. (2) și alin. (4) din Regulamentul (UE) 2016/679.

Astfel:

1.Operatorul MEDICOVER SRL a fost sancționat contravențional cu amendă în cuantum de 4.970,30 lei (echivalentul a 1 000 de EURO).

Investigația a fost demarată ca urmare a transmiterii de către operator a notificării de încălcare a securității datelor cu caracter personal.

Încălcarea securității datelor s-a produs ca urmare a divulgării neautorizate a datelor cu caracter personal dintr-un raport medical de consultație către un alt pacient căruia nu îi era destinat.

În cadrul investigației, a rezultat că operatorul nu a luat măsuri pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa și care are acces la datele cu caracter personal nu le prelucrează decât la cererea operatorului și nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea și integritatea sistemelor și serviciilor de prelucrare.

Ca atare, această situație a condus la pierderea confidențialității datelor cu caracter personal prelucrate, prin divulgarea neautorizată și accesul neautorizat la datele cu caracter personal (precum: numele, prenumele, data nașterii, vârsta, motivul vizitei, antecedentele personale patologice, diagnostic, concluzii și recomandări, medicație prescrisă, spitalizare, trimiteri analize/consultații) ale unui pacient, prin înmânarea raportului medical al consultației către un alt pacient.

2. Operatorul IRIDEX GROUP SALUBRIZARE SRL a fost sancționat contravențional cu amendă în cuantum de 9.951,80 lei (echivalentul a 2 000 de EURO).

Investigația a fost demarată ca urmare a unei sesizări primite din partea unei persoane fizice.

Încălcarea securității datelor s-a produs ca urmare a transmiterii pe adresele de e-mail ale clienților societății a unui mesaj electronic colectiv, adrese care erau vizibile tuturor.

În timpul desfășurării investigației, a reieșit că operatorul nu a luat măsuri pentru a asigura că orice persoană fizică care acționează sub autoritatea sa și care are acces la date cu caracter personal nu le prelucrează decât la cererea sa, și nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continuă ale sistemelor și serviciilor de prelucrare.

Direcția juridică și comunicare

A.N.S.P.D.C.P