L’Agenzia danese per la protezione dei dati ha denunciato Capio A/S alla polizia per non aver supervisionato i titolari del trattamento. Si raccomanda all’ospedale privato di pagare una multa non inferiore a 1.500.000 corone danesi.
L’Agenzia danese per la protezione dei dati ha condotto un’indagine sulla supervisione dei titolari del trattamento da parte di GHP Gildhøj Privathospital ApS (ora Capio A/S). A questo proposito, l’Agenzia danese per la protezione dei dati ha selezionato a caso tre titolari del trattamento dell’ospedale privato come oggetto dell’indagine.
L’indagine sulla supervisione di Capio A/S sui tre titolari del trattamento dei dati ha dimostrato che l’ospedale privato non aveva effettuato la supervisione. La prima supervisione di ciascun titolare del trattamento è stata effettuata solo quando l’Agenzia danese per la protezione dei dati ha avviato l’indagine sull’ospedale privato.
In questo contesto, l’Agenzia danese per la protezione dei dati ha deciso di denunciare Capio A/S alla polizia per non aver agito in conformità al principio di responsabilità previsto dalla legge sulla protezione dei dati. L’Agenzia danese per la protezione dei dati ritiene che l’ospedale privato non sia stato in grado di garantire e dimostrare che i dati personali sono trattati per scopi legittimi e ragionevoli e in modo da garantire un’adeguata sicurezza dei dati personali in questione. Questo vale anche se l’ospedale privato ha chiesto a un altro soggetto (un responsabile del trattamento) di trattare i dati per suo conto.
Perché fare una denuncia alla polizia?
L’Agenzia danese per la protezione dei dati effettua sempre una valutazione concreta della gravità del caso, ai sensi dell’articolo 83, paragrafo 2, del regolamento generale sulla protezione dei dati, nel valutare quale sanzione sia, secondo l’Agenzia, quella corretta.
Nella sua valutazione, l’Agenzia danese per la protezione dei dati ha sottolineato, tra l’altro, che i titolari del trattamento dei dati non sono stati controllati per diversi anni. Inoltre, hanno trattato i dati di un gran numero di interessati. L’autorità di controllo ha anche sottolineato che i responsabili del trattamento dei dati trattavano categorie speciali di dati personali (dati sensibili) e altri dati personali meritevoli di protezione.