L’Autorité danoise de protection des données a évalué un fournisseur de tests rapides qui n’a pas mis en œuvre des mesures de sécurité adéquates pendant le traitement d’informations réservées et d’informations sur la santé par rapport aux tests de dépistage de la COVID-19.

L’Autorité danoise de protection des données a signalé à la police Charlottenlund Lægehus Medicals Nordic I/S (« Medicals Nordic ») pour avoir traité des informations confidentielles et de santé sur les citoyens en relation avec la COVID-1919 tests, sans que la société a établi la sécurité nécessaire pour le traitement de l’information. L’autorité danoise de protection des données a établi une sanction de 600.000 DKK.

L’Autorité prend la question au sérieux car elle fait référence à des informations sensibles. Quand on lui confie le traitement de l’information sur la santé des citoyens, il y a la responsabilité de s’en occuper, et cela n’a pas été fait dans ce cas-ci.

En janvier 2021, l’Autorité danoise de protection des données apprend que Medicals Nordic a utilisé l’application WhatsApp pour partager des informations confidentielles et des informations de santé sur les citoyens qui ont été testés dans les centres de l’entreprise.

Sur cette base, l’Autorité danoise de protection des données a lancé un dossier de son propre fonctionnement, qui, par exemple, doit préciser si Medicals Nordic a mis en œuvre des mesures de sécurité et des informations sanitaires adéquates pour les citoyens.

À cet égard, l’autorité danoise de protection des données a considéré que Medicals Nordic n’avait pas évalué les mesures de sécurité adéquates dans une série de cas.

Mesures de sécurité

Les employés de Medicals Nordic ont utilisé leurs téléphones privés pour partager des informations confidentielles sur les citoyens aux admirations centrales par l’entreprise avec l’application WhatsApp.

A cet égard, Medical Nordic a créé un groupe WhatsApp pour chaque centre de test géré par l’entreprise.

Tous les employés qui ont travaillé dans un centre de tests ont été invités à la partie du groupe WhatsApp du centre de tests. Les membres du groupe WhatsApp ont reçu tous les messages que tous les employés ont transmis à d’autres groupes.

Cela signifie que les employés, qui, selon l’autorité danoise de protection des données, n’ont pas la nécessité de travail pour traiter des informations – que d’autres employés doivent partager à l’administration centrale – ils ont reçu toutes les informations, comme par exemple le numéro de sécurité sociale et l’information sur la santé des citoyens.

Un contrôle adéquat de l’accès aux groupes a signifié que les employés qui n’ont pas été compromis ont été retirés des groupes WhatsApp, afin qu’ils puissent toujours avoir accès à l’information partagée dans les groupes.

Pourquoi est-il important de se plaindre à la police?

L’Autorité danoise de protection des données a toujours évalué la gravité de l’affaire conformément à l’article 83, paragraphe 1, du RGPD, pour déterminer quelle sanction est, selon l’avis de l’Autorité, la meilleure.

En évaluant la mise en œuvre d’une sanction, l’Agence danoise de protection des données a souligné que les informations confidentielles et les informations de santé liées à un grand nombre de citoyens étaient traitées de manière incertaine et communiquées à des personnes non autorisées, y compris les employés qui n’avaient pas la possibilité de recevoir de l’information.

En outre, il y a aussi des employés qui n’étaient plus des employés de l’entreprise.

En outre, l’Agence danoise pour la protection des données a souligné que des manquements dans différents cas, sur l’avis de l’Autorité, se sont produits intentionnellement, car Medicals Nordic, entre autres, n’a pas mis en œuvre l’évaluation des risques nécessaire liée au traitement.

SOURCE: AUTORITA’ PER LA PROTEZIONE DEI DATI DELLA DANIMARCA