• Το πρόστιμο σε Νοσοκομείο

Η νορβηγική Αρχή Προστασίας Δεδομένων (“Datatilsynet”) ανακοίνωσε, στις 27 Οκτωβρίου 2020, ότι επέβαλε πρόστιμο στο Νοσοκομείο Østfold HF 750.000 νοκ (περίπου 69.000 ευρώ) για την αποθήκευση δεδομένων υγείας για παρατεταμένο χρονικό διάστημα χωρίς την εφαρμογή επαρκών μέτρων για την ασφαλή διατήρηση αυτών των δεδομένων. Συγκεκριμένα, η Datatilsynet σημείωσε ότι υπήρξε παραβίαση που αφορούσε ευαίσθητες πληροφορίες ασθενών που εμπίπτουν σε ειδικές κατηγορίες προσωπικών δεδομένων και ότι η διαρροή επηρέασε ασθενείς που ετοιμάζονταν να πάρουν εξιτήριο  από το νοσοκομείο. Επιπλέον, η Datatilsynet ανέφερε ότι το νοσοκομείο δεν είχε μηχανισμούς ελέγχου πρόσβασης στο σημείο όπου φυλάσσονταν ιατρικές αναφορές και αρχεία ασθενών , ενώ διαπίστωσε ότι το Νοσοκομείο Østfold δεν είχε καθιερώσει κάποιο σύστημα για την πρόληψη μελλοντικών παραβιάσεων και ότι δεν είχε εξασφαλίσει την τήρηση διαδικασιών εσωτερικού ελέγχου όσον αφορά την πρόσβαση των εργαζομένων σε αρχεία, την αποθήκευση και τη διαγραφή τους από τον διακομιστή. Ως εκ τούτου, η Datatilsynet επέβαλε το πρόστιμο και διέταξε το Νοσοκομείο να παρακολουθεί τη συμμόρφωση με τις εσωτερικές διαδικασίες για την προστασία προσωπικών δεδομένων, ιδιαίτερα όταν αυτά είναι ευαίσθητα προσωπικά δεδομένα.

• Το πρόστιμο σε Εταιρεία

Η νορβηγική Αρχή Προστασίας Δεδομένων επέβαλε επίσης  στην Odin Flissenter AS διοικητικό πρόστιμο ύψους 13.905 ευρώ (150.000 νοκ) για τη διενέργεια πιστωτικού ελέγχου ατομικής επιχείρησης χωρίς να διαθέτει νόμιμη βάση για την επεξεργασία.

Η εταιρεία Odin Flissenter πραγματοποιήσε πιστωτικό έλεγχο σε ατομική επιχείρηση που δεν είχε σχέση με τον πελάτη της ή οποιαδήποτε άλλη σύνδεση με την εταιρεία.

Οι πιστωτικές πληροφορίες σχετικά με μια ατομική επιχείρηση θεωρούνται προσωπικά δεδομένα, καθώς ο εταίρος ταυτίζεται άμεσα με την επιχείρηση.

Οι αξιολογήσεις πιστωτικού ελέγχου βασίζονται σε μια συλλογή προσωπικών δεδομένων και αποκαλύπτουν το κατά πόσο ένα άτομο ή μια ατομική επιχείρηση θα είναι σε θέση να ανταπεξέλθει στις οικονομικές του υποχρεώσεις.

Ως εκ τούτου, είναι έντονος ο προσωπικός και ιδιωτικός χαρακτήρας των δεδομένων, εφόσον συνδέονται στενά με την περιουσία του ιδιοκτήτη της ατομικής επιχείρησης. Εν προκειμένω αξίζει να σημειωθεί ότι τα δεδομένα συλλέχθηκαν για σκοπούς που δεν εμπίπτουν στην επιχειρηματική δραστηριότητα της εταιρείας.

• Το πρόστιμο στον Δήμο

Το τρίτο πρόστιμό του μηνός Οκτωβρίου ύψους περίπου 276.000 ευρώ (3 εκατ.κορώνες) εξέδωσε η νορβηγική αρχή εναντίον δήμου, καθώς δεν είχαν ληφθεί τα απαραίτητα μέτρα προστασίας για την ασφάλεια των προσωπικών δεδομένων στο σύστημα επικοινωνίας μεταξύ σχολείου και σπιτιών.

Πιο συγκεκριμένα, τον Οκτώβριο του 2019, η Αρχή Προστασίας Δεδομένων ενημερώθηκε για παραβίαση προσωπικών δεδομένων από τον Δήμο Μπέργκεν σχετικά με το νέο εργαλείο επικοινωνίας (με την ονομασία “Vigilo”) μεταξύ σχολείου και σπιτιών του Δήμου. Το Vigilo περιέχει μια ενότητα όπου το σχολείο και οι γονείς μπορούν να επικοινωνούν μέσω μιας πύλης ή μιας εφαρμογής. Ο Δήμος δεν είχε θεσπίσει ούτε κοινοποίησε τις απαραίτητες κατευθυντήριες γραμμές για τη διασφάλιση των προσωπικών πληροφοριών των παιδιών και των γονέων με εμπιστευτική διεύθυνση πριν τεθεί σε χρήση το εργαλείο.

Στον Δήμο του Μπέργκεν επεβλήθη τελικά διοικητικό πρόστιμο ύψους 276.000 ευρώ. Το πρόστιμο επιβλήθηκε επειδή ο Δήμος δεν είχε εφαρμόσει τεχνικά και οργανωτικά μέτρα για την επίτευξη επαρκούς επιπέδου ασφάλειας με αποτέλεσμα να μην τηρείται η αρχή της εμπιστευτικότητας και ακεραιότητας.

Παρατηρέιται έντονη κινητικότητα της νορβηγικής αρχής που στράφηκε τόσο κατά του δημόσιου όσο και κατά του ιδιωτικού τομέα χωρίς να κάνει διακρίσεις.

Οι εξελίξεις αυτές αποκαλύπτουν ότι ο ΓΚΠΔ εφαρμόζεται και επηρεάζει σημαντικά όλους τους φορείς που διενεργούν επεξεργασία προσωπικών δεδομένων. Αναμένουμε και από την ελληνική αρχή να ακολουθήσει, για αυτό και τα μέτρα πρόληψης και συμμόρφωσης με τον ΓΚΠΔ κρίνεται σκόπιμο να βρίσκονται ανά πάσα στιγμή σε καλό επίπεδο.