Bøde på 2,4 mio. for manglende sikkerhedsforanstaltninger

Ifølge ICO blev ca. 500.000 dokumenter, som bl.a. indeholdt helbredsoplysninger om kunder, opbevaret i en baggård i ulåste containere, plastikposer mv.

Databeskyttelsesforordningen bygger på et grundlæggende princip om, at den, der behandler personoplysninger, skal beskytte dem. Beskyttelsen sikres, ved at man indfører passende tekniske og organisatoriske foranstaltninger. Mange står herefter med spørgsmålet om hvad ”passende” foranstaltninger er. Svaret er, at man foretager en risikovurdering.

Denne vurdering gennemføres ved, at man først finder frem til, hvilke risici der er for fysiske personers rettigheder og frihedsrettigheder. Overordnet kan det bl.a. være risikoen for uautoriseret adgang til eller hændelig undergang af personoplysninger. Mere konkret kan det være risikoen for f.eks. phishing-forsøg, at man bliver angre-bet af malware eller at ens arkivfiler bliver ødelagt pga. af et sprunget vandrør. Når man har fundet en risiko, vurderer man sandsynligheden for, at risikohændelsen indtræffer. Man vurderer også konsekvenserne for de registrerede, hvis det skulle gå galt. Sammenholder man sandsynligheden med den mulige konsekvens, får man risikoen for fysiske personers rettigheder og frihedsrettigheder.

Doorstep Dispensaree Ltd havde opbevaret de ca. 500.000 dokumenter i en baggård i uaflåste containere og poser. Doorstep Dispensaree Ltd oplyste dog, at gården var aflåst. Flere af dokumenterne var imidlertid blevet gennemblødt af regn og således beskadiget. Meget tyder altså på, at der ikke var givet meget eftertanke til databeskyttelsesforordningens krav om beskyttelse. Efterforskningschef hos ICO, Steve Eckersley, udtalte også, at “The careless way Doorstep Dispensaree stored special category data failed to protect it from accidental damage or loss. This falls short of what the law expects and it falls short of what people expect”.

På linje med andre afgørelser kan vi se, at de forskellige landes tilsynsmyndigheder slår hårdt ned over for brud på de grundlæggende principper. I denne sag med en bøde svarende til 2,4 millioner danske kroner.

Det er vigtigt, at virksomheder overvejer mere end bare risikoen for IT-angreb, når de skal finde frem til, hvad passende sikkerhedsforanstaltninger er. Det er ikke unormalt, at virksomheder anvender loftrum, kældre og lignende rum til opbevaring af arkiverede dokumenter. Men også her skal personoplysninger beskyttes mod hændelig undergang.