Data Protection Commission (DPC) har utfärdat en sanktionsavgift på 300 000 euro mot en sjukvårdsorganisation för bristande tekniska och organisatoriska säkerhetsåtgärder vid behandling av personuppgifter i strid med dataskyddsförordningen (GDPR).
Bakgrund
I november 2018 upptäcktes en ransomware-attack mot ett laboratorieinformationssystem (LIS) vid ett sjukhus som ingick i organisationen. Attacken ledde till att LIS-databasservern slogs ut och att data lagrade på flera enheter krypterades, däribland säkerhetskopieringsenheter anslutna till de drabbade servrarna. Angriparna fick tillgång till systemet via en osäker brandväggsport och utnyttjade ett svagt administratörslösenord. Den tekniska utredningen kunde inte utesluta att personuppgifter hade visats eller läckt ut. Elektroniska register skapade mellan juni 2017 och november 2018 kunde inte återställas.
Den berörda informationen omfattade identifierings- och kontaktuppgifter samt klinisk information och testresultat, vilket utgör hälsouppgifter. Organisationen uppskattade inledningsvis att 50 000 registrerade hade drabbats men höjde därefter siffran till cirka 84 000.
I november 2018 anmälde organisationen dataintrånget till DPC. Organisationen bedömde att intrånget innebar en medelhög risk och underlät därför att individuellt underrätta de berörda registrerade. Information om händelsen lämnades i stället genom offentliga meddelanden. I oktober 2019 inledde DPC en undersökning på eget initiativ för att fastställa om organisationen hade uppfyllt sina skyldigheter enligt GDPR avseende säkerheten i LIS, avtalen med personuppgiftsbiträdena, dokumentationen av behandlingen av personuppgifter och hanteringen av personuppgiftsincidenten.
Myndighetens bedömning
Organisationen hade flera säkerhetsbrister, däribland en osäker fjärråtkomstport utan multifaktorautentisering, ett svagt administratörslösenord, ett ineffektivt system för upptäckt och förebyggande av intrång, föråldrat antivirusskydd, en enhet som körde ett operativsystem som inte längre stöddes, brist på kryptering av lagrade uppgifter, otillräckliga sårbarhets- och penetrationstester, bristfällig nätverkssegmentering samt säkerhetskopieringssystem som inte var tillräckligt åtskilda från det drabbade nätverket. Det fanns även brister i den centrala säkerhetstillsynen. DPC bedömde att organisationen hade överträtt artiklarna 5.1 (f) och 32.1 GDPR genom att inte vidta tekniska och organisatoriska åtgärder anpassade till de höga riskerna vid behandling av stora mängder hälsouppgifter.
När det gäller avtalen med externa leverantörer skötte två företag underhållet av den infrastruktur och programvara som användes av LIS och betraktades som personuppgiftsbiträden. Avtalen som reglerade dessa relationer gav inte tillräckliga garantier för dataskydd och säkerhet och innehöll inte de obligatoriska bestämmelser som krävs enligt artikel 28 GDPR. DPC bedömde att organisationen därmed hade överträtt artikel 28 GDPR.
Organisationen hade vid tidpunkten för dataintrånget inte ett fullständigt register över behandlingsverksamheten. Även om viss dokumentation fanns i utkastform innehöll den inte all nödvändig information. DPC konstaterade att detta innebar en överträdelse av artikel 30.1 GDPR.
När det gäller informationen till de registrerade bedömde DPC att incidenten innebar en hög risk för deras rättigheter och friheter, med hänsyn till hälsouppgifternas känsliga karaktär, antalet berörda registrerade och risken för att uppgifterna hade lästs eller lämnats ut. Organisationen hade bedömt risken som medelhög och hade därför inte underrättat de berörda registrerade individuellt. DPC godtog att individuell underrättelse kunde innebära en oproportionerlig insats och att ett offentligt meddelande därför kunde användas, men konstaterade att de offentliga meddelandena var ofullständiga. Bland annat framgick inte att vissa personuppgifter hade gått förlorade utan möjlighet till återställning och att det inte kunde uteslutas att uppgifter hade lästs eller lämnats ut. DPC konstaterade att organisationen hade överträtt artikel 34 GDPR.
DPC ålade organisationen en sanktionsavgift på 300 000 euro för överträdelserna av artiklarna 5.1 (f) och 32.1 GDPR och krävde att organisationen anpassade sin behandling till kraven i dessa bestämmelser.
Praktiska konsekvenser
Beslutet visar vikten av att säkerhetsåtgärderna är anpassade till riskerna med behandlingen. Vid behandling av stora mängder hälsouppgifter kan bland annat multifaktorautentisering, starka lösenord, uppdaterade system, nätverkssegmentering och säkerhetsövervakning vara relevanta åtgärder. Även säkerhetskopiering behöver utformas så att säkerhetskopior inte påverkas vid en ransomware-attack.
Beslutet visar också att avtal med personuppgiftsbiträden behöver uppfylla kraven i artikel 28 GDPR och innehålla de uppgifter och skyldigheter som följer av bestämmelsen.
Vid en personuppgiftsincident behöver riskbedömningen beakta bland annat uppgifternas känsliga karaktär, hur många personer som berörs och risken för att personuppgifter har lästs eller lämnats ut. Om information lämnas genom ett offentligt meddelande i stället för individuellt behöver informationen vara tillräcklig för att de registrerade ska förstå incidenten och dess konsekvenser.
Beslutet visar slutligen vikten av att ha ett aktuellt och fullständigt register över behandlingsverksamheten samt att kunna visa att de tekniska och organisatoriska åtgärderna är anpassade till riskerna i verksamheten.
TechLaw följer utvecklingen och publicerar löpande inlägg och tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: DPC.
