Svezia: sanzionata perdita di chiavetta USB con criteri interessanti

Tassa sanzionatoria contro la regione Skåne

Data di pubblicazione: martedì 27 aprile 2023

L'Autorità svedese per la protezione della privacy (IMY) emette una tassa sanzionatoria contro la regione Skåne perché la regione ha perso una memoria USB non crittografata con Dati personali sensibili sui pazienti.

IMY ha avviato la supervisione contro la regione Skåne dopo aver ricevuto una segnalazione di Violazione dei dati personali e reclami da parte degli interessati. Il rapporto sull'incidente mostra che un dipendente ha perso un'unità flash USB non crittografata contenente numeri di previdenza sociale e Dati personali sensibili di quasi 2.000 persone. Nel corso dell'indagine è emerso che la chiavetta USB non è stata recuperata.

La conclusione dell'IMY è che le misure tecniche e organizzative adottate dalla regione non erano sufficienti a garantire un livello adeguato di sicurezza in relazione al rischio del trattamento. Questo perché la regione ha memorizzato Dati personali sensibili su una chiavetta USB non crittografata che da allora è andata persa. Il contenuto della chiavetta USB collega le informazioni sulla salute con un gran numero di pazienti attraverso i loro numeri di previdenza sociale, il che rappresenta un rischio elevato per i diritti e le libertà degli interessati.

"Il fatto che la regione non abbia soddisfatto i requisiti di sicurezza del regolamento generale sulla protezione dei dati in questo caso è grave perché si tratta di un tipo di Dati personali che richiede una forte protezione", afferma il direttore ad interim. Capo unità Linn Sandmark, che ha deciso in merito.

E continua:

− (EN) È la regione, in qualità di titolare del Trattamento dei dati, che ha la responsabilità ultima di come i Dati personali vengono gestiti nell'azienda. Questa responsabilità include, tra le altre cose, l'adozione di adeguate misure di sicurezza tecniche e organizzative per proteggere i dati personali. Dovrebbe essere facile fare la cosa giusta per il personale", afferma.

Nella sua decisione, l'IMY osserva che la violazione riguarda un gran numero di interessati i cui Dati personali sono protetti dalla riservatezza. È inoltre aggravante che la chiavetta USB non sia stata recuperata e che non sia chiaro quale diffusione possano aver ricevuto i dati personali. Sulla base di una valutazione complessiva, IMY decide che la regione pagherà una tassa amministrativa di sanzione amministrativa di 200.000 corone svedesi.  (17.000 euro circa)