PARTNERZY PORTALU
partner portalu partner portalu

Kara pieniężna dla placówki zdrowotnej za naruszenie ochrony danych osobowych

ms
17-02-2021, 09:13
Kara pieniężna dla placówki zdrowotnej za naruszenie ochrony danych osobowych Problemy z ochroną danych osobowych (fot. unsplash)
Prezes Urzędu Ochrony Danych Osobowych nałożył karę pieniężną w wysokości 85 tys. zł na placówkę medyczną za niewykonanie nakazu zawiadomienia pacjentów o naruszeniu ich danych osobowych i brak przekazania im zaleceń dotyczących zminimalizowania potencjalnych negatywnych skutków zaistniałego incydentu. Sytuację komentuje adwokat Karol Kolankiewicz.

Naruszenie polegało na nieuprawnionym kopiowaniu przez byłego pracownika danych osobowych 100 pacjentów z systemu informatycznego przychodni w celu wykorzystania ich do marketingu własnych usług. Naruszenie dotyczyło następujących kategorii danych osobowych pacjentów: numeru PESEL, imion i nazwisk, imion rodziców, daty urodzenia, adresu zamieszkania lub pobytu oraz numeru telefonu.

Prezes Urzędu Ochrony Danych Osobowych (PUODO) wezwał placówkę do niezwłocznego zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony ich danych osobowych oraz przekazania im zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia.

Następnie PUODO wezwał placówkę m.in. do przedstawienia wykazu osób, którym przekazano ww. informacje o naruszeniu i zaleceń oraz informacji o sposobie ich przekazania oraz dowodów na ich przekazanie (kopii 10 przykładowych zawiadomień wraz z potwierdzeniem ich nadania).

Placówka w odpowiedzi wskazała, że nie jest w stanie takiej listy stworzyć, gdyż nie posiada wiedzy, których pacjentów dane zebrał były pracownik, zaś w placówce leczy się znacznie więcej osób, na skutek czego powiadomienie wszystkich o możliwości naruszenia ich danych osobowych było niewykonalne. Na skutek tego pacjenci nic nie wiedzieli o naruszeniu danych.

Zdaniem PUODO właściwe wywiązanie się z tego obowiązku pozwoliłoby pacjentom:
- zrozumieć, na czym polegało naruszenie ochrony ich danych osobowych;
- poznać możliwe konsekwencje zdarzenia; 
- dowiedzieć się, jakie działania mogą podjąć w celu zminimalizowania ewentualnych negatywnych skutków.  

Zgodnie z art. 34 RODO, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.

Zawiadomienie powinno zostać sformułowane jasnym i prostym językiem - powinno zawierać co najmniej następujące informacje:
- imię i nazwisko oraz dane kontaktowe inspektora ochrony danych;
- opis możliwych konsekwencji naruszenia ochrony danych osobowych;
- opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych.

W innej sprawie PUODO (decyzja z 20 listopada 2018 r.) wskazał, że zawiadomienia przesłane do osób, których dane dotyczą, nie są prawidłowe, jeżeli nie zawierają dostatecznego opisu możliwych negatywnych konsekwencji naruszenia ochrony danych osobowych, na jakie mogą być narażone osoby, których dane dotyczą, oraz proponowanych przez administratora środków w celu zminimalizowania negatywnych skutków naruszenia.

Karol Kolankiewicz jest adwokatem - członkiem Pomorskiej Izby Adwokackiej w Gdańsku; współzałożyciel Instytutu – Specjaliści Prawa Ochrony Zdrowia; od 2008 roku nieprzerwanie świadczy pomoc prawną dla Okręgowej Izby Lekarskiej w Gdańsku; świadczy także usługi doradztwa prawnego dla podmiotów leczniczych; specjalizuje się w sprawach związanych z prawem medycznym i ochroną danych osobowych, jak również w sprawach karnych, odszkodowawczych oraz związanych z ochroną dóbr osobistych; prowadzi szkolenia z zakresu prawa medycznego, karnego oraz z zakresu ochrony danych medycznych; autor licznych publikacji z zakresu prawa medycznego.

Podobał się artykuł? Podziel się!
SŁOWA KLUCZOWE
dane osobowe   RODO   UODO  

POLECAMY W SERWISACH

Drogi Użytkowniku!

W związku z odwiedzaniem naszych serwisów internetowych możemy przetwarzać Twój adres IP, pliki cookies i podobne dane nt. aktywności lub urządzeń użytkownika. O celach tego przetwarzania zostaniesz odrębnie poinformowany w celu uzyskania na to Twojej zgody. Jeżeli dane te pozwalają zidentyfikować Twoją tożsamość, wówczas będą traktowane dodatkowo jako dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady 2016/679 (RODO).

Administratora tych danych, cele i podstawy przetwarzania oraz inne informacje wymagane przez RODO znajdziesz w Polityce Prywatności pod tym linkiem.

Jeżeli korzystasz także z innych usług dostępnych za pośrednictwem naszych serwisów, przetwarzamy też Twoje dane osobowe podane przy zakładaniu konta, rejestracji na eventy, zamawianiu prenumeraty, newslettera, alertów oraz usług online (w tym Strefy Premium, raportów, rankingów lub licencji na przedruki).

Administratorów tych danych osobowych, cele i podstawy przetwarzania oraz inne informacje wymagane przez RODO znajdziesz również w Polityce Prywatności pod tym linkiem. Dane zbierane na potrzeby różnych usług mogą być przetwarzane w różnych celach, na różnych podstawach oraz przez różnych administratorów danych.

Pamiętaj, że w związku z przetwarzaniem danych osobowych przysługuje Ci szereg gwarancji i praw, a przede wszystkim prawo do sprzeciwu wobec przetwarzania Twoich danych. Prawa te będą przez nas bezwzględnie przestrzegane. Jeżeli więc nie zgadzasz się z naszą oceną niezbędności przetwarzania Twoich danych lub masz inne zastrzeżenia w tym zakresie, koniecznie zgłoś sprzeciw lub prześlij nam swoje zastrzeżenia pod adres odo@ptwp.pl.

Zarząd PTWP-ONLINE Sp. z o.o.