Datatilsynet verhängt 49.232 Euro Bußgeld gegen Kommune Moss

Norwegen: Am 1. Januar 2020 wurde die norwegische Kommune Rygge an die Kommune Moss angegliedert. Dies wurde von einer Umstrukturierung der IT-Systeme des Bußgeldempfängers begleitet, in dessen Rahmen die IT-Systeme mehrerer Services der Kommune zusammengeführt wurden. 
Die norwegische Datenschutzbehörde verhängte das Bußgeld, weil bei dieser Umstrukturierung es aufgrund unzureichender Sicherheitsmaßnahmen zu einer Datenpanne in einem produktiven System gekommen war, welches im Gesundheitsdienst der Kommune zum Einsatz kam. Das System wird dort unter anderem für Gesundheitskontrollen, Nachsorgeuntersuchungen von Schwangeren und die Durchführung von Impfprogrammen verwendet. Das System verarbeitet die personenbezogenen Daten, einschließlich Gesundheitsdaten, aller Personen, die in der Kommune wohnen und deren Gesundheitsdienste nutzen. Entsprechend sind potenziell bis zu 2.000 Personen vom Vorfall betroffen.
Aufgrund der Panne war es zu Störungen bei der Impfstoffregistrierung gekommen. Die Betroffenen liefen dadurch Gefahr, falsche Impfstoffe verabreicht zu bekommen. Zudem drohten ihre Impfinformationen inkorrekt im nationalen Impfregister hinterlegt zu werden.
Des Weiteren hatte die Panne zu Fehlern in den Journalen des Gesundheitsdienstes geführt, welche für die Nachbeobachtung von Schwangeren verwendet worden waren. Die Fehler bezogen sich unter anderem auf die Anzahl der Schwangerschaftswochen, das Gewicht und die Maße des Säuglings sowie auf den etwaigen Drogenkonsum der Mütter.
Ferner wurden dem Personal auf einer Station des Gesundheitsdienstes Patienteninformationen zugänglich gemacht, ohne dass dies erforderlich war und ohne dass deren Zugriffe dokumentiert wurden. Daneben kam es zu verschiedenen Fehlern des täglichen Betriebsablaufs. Dazu gehörten z.B. Fehler in der Arbeitsstundenerfassung und bei der Zuteilung von Verantwortlichkeiten für die Journalverwaltung.
Die Datenschutzbehörde erkannte im Vorfall ein Versäumnis seitens der Kommune, technische und organisatorische Maßnahmen zu implementieren, welche die Vertraulichkeit, Integrität und Verfügbarkeit der von ihr eingesetzten, datenverarbeitenden Systeme sicherstellen. In diesem Zusammenhang kritisierte die Behörde ebenfalls, dass der Bußgeldempfänger über kein Verfahren zur regelmäßigen Überprüfung und Evaluierung der von ihm angewandten Sicherheitsmaßnahmen verfügte. .

Verwandter Beitrag  AEPD verhängt 70.000 Euro Bußgeld gegen DIGI SPAIN TELECOM, SL

Veröffentlicht am: 24-06-2021

Quelle von dsgvo-portal.de