La Autoridad Danesa de Protección de Datos ha establecido que la región Syddanmark no había protegido los datos personales desde la publicación involuntaria en el sitio web de la región.
La Autoridad de Protección de Datos ha denunciado la Región Syddanmark a la policía para no haber establecido suficientes medidas de seguridad. La Región no había protegido la publicación involuntaria de datos personales en su sitio web. Por esto, la Autoridad de Protección de Datos ha impuesto una sanción de 500.000 coronas daneses (67.233 euros).
El 9 de marzo de 2020, la Autoridad de Protección de Datos ha recibido una notificación de violación de datos personales desde la región Syddanmark. La notificación afirmaba que una presentación Power Point preparada para fines educativos al Odense University Hospital con diagramas que incluían datos personales – incluidas las informaciones sobre la salud y sobre le numero de identidad personal de 39.15 pacientes – estaba disponible en el sitio web de la Región de Dinamarca meridional desde mayo de 2011.
La Región de la Dinamarca meridional ha utilizado un instrumento de screening para escanear regularmente la publicación involuntaria de números de identidad personales en su sitio web. Todavía, el instrumento de screening no podía escanear de datos los datos sigiuntes en as presentaciones PowerPoint y esta era a razón por la cual la región no había cumplido con los requisitos por un adecuado nivel de seguridad en el GDPR.
En este contexto, la Autoridad ha revelado que la región de la Dinamarca meridional no había implementado medidas de seguridad adecuadas para permitir a la misma región de efectuar adecuados controles de calidad sobre el contenido de los documentos publicados.
Medidas de seguridad no adecuadas
En el contexto frente a la Autoridad, la región de la Dinamarca meridional ha declarado que, desde marzo de 2013, ha utilizado el instrumento de screening en cuestión para analizar los documentos sobre le sitio web de la región para los números de identificación personales que han sido involuntariamente publicados. El instrumento de screening no ha escaneado otros tipos de informaciones, incluidas, por ejemplo, las informaciones sanitarias.
La región de la Dinamarca meridional ha descubierto, solo cuando el Odense University Hospital ha sido contactado desde un ciudadano a propósito de la presentación PowerPoint en febrero de 20210, que el instrumento de screening no era capaz de buscar los números de seguridad social, pro ejemplo, en los datos bajo los diagramas en las presentaciones PowerPoint.
Regularmente algunas autoridades publican involuntariamente informaciones sobre los ciudadanos en lo sitios web. Cuando se publican documentos que podrían potencialmente incluir datos personales, las autoridades tendrían siempre que considerar la relevancia de los controles precedentes y sucesivos. En un caso como esto, donde la región gestiona grandes cantidades de informaciones sensibles de muchos ciudadanos, los requisitos para las consideraciones sobre los riesgos que la región tiene que hacer han aumentado, así como los requisitos de las medidas efectivamente implementadas.
En el complejo, la Autoridad de Protección de Datos ha revelado que la Región de la Dinamarca meridional no había una conciencia suficiente de la funcionalidad del instrumento de screening. Además, la región no había efectuado un adecuado screening continuo de los ficheros de los datos personales que han sido involuntariamente compartidos. La región no había probado la eficacia de las medidas de seguridad del screening de los ficheros publicados en el sitio web de la región bajo base continuativa.
La autoridad ha también considerado que la región de la Dinamarca meridional habría tenido que implementar medias – técnicas u organizativas – que permitieran a la región de controlar el sitio de la región por otros tipos de datos, incluido, por ejemplo, lo datos sanitarios.
¿Por qué denunciarlo a la policía?
La Autoridad efectúa siempre una evaluación especifica de la gravedad del caso, con arreglo al artículo 83, apartado 2 del Reglamento General de Protección de Datos (GDPR), en evaluar cual sanción sea apropiada.
Al evaluar si debía imponerse una multa, la Autoridad tuvo en cuenta que la región de Syddanmark procesa grandes cantidades de datos personales, incluidos los datos sanitarios -que son de naturaleza sensible- y los datos del número de identidad personal.
La Autoridad también subrayó que la región tiene una mayor obligación de proteger esta información de la divulgación o difusión accidental y que, en este contexto, corresponde especialmente a las regiones que publican muchos documentos y grandes cantidades de información llevar a cabo los controles adecuados de los documentos e información publicados.