Urzędu Ochrony Danych Osobowych (UODO) har utfärdat en sanktionsavgift på 1 145 890 zloty mot Centrum Medyczne Ujastek Sp. z o.o. för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att vårdinrättningen Centrum Medyczne Ujastek installerade kamerabevakningsutrustning i två patientrum för neonatalvård. Utrustningen spelade in bildmaterial av nyfödda barn och deras mödrar i samband med privata och integritetskänsliga situationer, såsom amning och omvårdnad, utan att någon vederbörlig information lämnades till berörda patienter eller personal.
Vid den efterföljande granskningen konstaterades dessutom att de minneskort på vilka inspelningarna lagrades antingen förlorats eller utsatts för stöld. Dessa minneskort var inte krypterade, och de inspelningsenheter som använts hade inte konfigurerats i enlighet med tillämpliga säkerhetsstandarder.
UODO konstaterade att vårdinrättningens agerande stred mot artikel 5.1 (a) och (f) GDPR, som föreskriver att personuppgifter ska behandlas lagligt, korrekt och på ett öppet sätt samt skyddas mot obehörig åtkomst genom lämpliga tekniska och organisatoriska åtgärder. Vidare konstaterades brister i ansvarsskyldigheten enligt artikel 5.2 GDPR, då vårdinrättningen inte kunde visa att kraven i artikel 5.1 GDPR efterlevts. Behandlingen saknade dessutom rättslig grund enligt artikel 6.1 GDPR och avsåg känsliga personuppgifter i strid med förbudet i artikel 9.1 GDPR. Informationsskyldigheten enligt artikel 13.1 GDPR hade inte uppfyllts, eftersom varken patienter eller personal informerades om kamerabevakningen. Dessutom konstaterade UODO att vårdinrättningen brustit i sitt ansvar att genomföra lämpliga säkerhetsåtgärder enligt artiklarna 25.1, 32.1 och 32.2 GDPR.