Centru medical amendat pentru divulgarea datelor privind sanatatea

Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat, in luna ianuarie 2025, o investigatie la operatorul Medstar S.R.L., constatand incalcari ale articolelor 32, 33 si 34 din Regulamentul (UE) 2016/679 (GDPR).

In urma acestei investigatii, Medstar S.R.L. a fost sanctionat cu o amenda pentru nerespectarea articolului 32 si a primit avertismente pentru incalcarea articolelor 33 si 34 din GDPR.

Investigatia a fost initiata in urma unei plangeri depuse de o persoana vizata, care a reclamat ca, in cadrul clinicii Medstar unde si-a efectuat analizele medicale, datele sale cu caracter personal, precum si ale altei persoane, au fost dezvaluite neautorizat. In timpul investigatiei, s-a constatat ca Medstar S.R.L. a transmis, in mod eronat si nesecurizat, date privind starea de sanatate a petentei catre o alta persoana (pacient) si, invers, datele unui alt pacient catre petenta, prin intermediul postei electronice.

Datele personale si sensibile dezvaluite neautorizat au inclus: nume, prenume, cod numeric personal, varsta, sex, localitate, numar de telefon mobil, adrese de e-mail, informatii medicale din istoricul pacientului, tipul analizelor efectuate, numele si specialitatea medicului care a facut recomandarea, numele si specialitatea medicului care a efectuat analizele, rezultatele analizelor, recomandari medicale, denumirea platitorului si tratamentul prescris.

Conform articolului 32 din GDPR, operatorii de date sunt obligati sa implementeze masuri tehnice si organizatorice adecvate pentru a asigura un nivel de securitate corespunzator riscurilor asociate prelucrarii datelor personale. In acest caz, ANSPDCP a constatat ca Medstar S.R.L. nu a adoptat masuri de securitate suficiente, adaptate la natura sensibila a datelor prelucrate, ceea ce a condus la dezvaluirea neautorizata a informatiilor personale ale pacientilor.

Pe langa lipsa masurilor de securitate adecvate, Medstar S.R.L. nu a respectat obligatiile prevazute de articolele 33 si 34 din GDPR, care impun notificarea incalcarilor de securitate catre autoritatea de supraveghere si informarea persoanelor vizate afectate. In conformitate cu aceste articole, in cazul unei incalcari a securitatii datelor cu caracter personal, operatorul trebuie sa notifice Autoritatea de Supraveghere fara intarzieri nejustificate si, daca este posibil, in termen de 72 de ore de la momentul in care a luat cunostinta de incalcare.

De asemenea, operatorul are obligatia de a comunica persoanelor vizate, fara intarzieri nejustificate, faptul ca a avut loc o incalcare a securitatii datelor lor personale, mai ales atunci cand aceasta poate genera un risc ridicat pentru drepturile si libertatile acestora.

In urma constatarii acestor incalcari, Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal a aplicat Medstar S.R.L. o amenda pentru nerespectarea articolului 32 din GDPR si a emis avertismente pentru incalcarea articolelor 33 si 34. De asemenea, autoritatea a dispus masuri corective, solicitand operatorului sa implementeze politici si proceduri adecvate pentru a asigura conformitatea cu GDPR, inclusiv masuri tehnice si organizatorice care sa garanteze securitatea datelor personale prelucrate.

Totodata, s-au dispus operatorului si urmatoarele masuri corective:

• asigurarea conformitatii cu GDPR a operatiunilor de prelucrare a datelor personale, prin punerea in aplicare a unor masuri de securitate tehnice si organizatorice adecvate specificului prelucrarii si riscurilor identificate;
• stabilirea unor reguli adecvate legate de gestionarea fisierelor ce pot fi transmise prin folosirea mijloacelor de comunicare electronica;
• instruirea persoanelor care prelucreaza date sub autoritatea operatorului si verificarea regulata a respectarii instructiunilor transmise acestora;
• automatizarea anumitor procese pentru reducerea riscurilor de prelucrare ilegala sau neautorizata a datelor personale;
• adoptarea unor masuri interne pentru detectarea rapida, gestionarea si raportarea unor situatii de incalcare a securitatii datelor personale;
• informarea persoanelor afectate de incalcarea securitatii datelor;
• solicitarea persoanelor care au primit date personale dezvaluite neautorizat sa nu le foloseasca si sa le stearga.

Implementarea acestor masuri este esentiala pentru protejarea drepturilor si libertatilor persoanelor vizate si pentru prevenirea unor incidente similare in viitor.