Amendă administrativă în valoare de 262 500 de euro aplicată de către Autoritatea Poloneză pentru Protecția Datelor unei companii medicale pentru supravegherea video ascunsă în departamentul de neonatologie și neaplicarea măsurilor de securitate corespunzătoare

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 262 500 de euro aplicată de către Autoritatea Poloneză pentru Protecția Datelor (SA) companiei Centrum Medyczne Ujastek Sp. z o.o. pentru încălcarea articolului 5 (Principiile legate de prelucrarea datelor cu caracter personal), articolului 6 (Legalitatea prelucrării), articolului 9 (Prelucrarea de categorii speciale de date cu caracter personal), articolului 13 (Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată), articolului 24 (Responsabilitatea operatorului), articolului 25 (Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit) și articolului 32 (Securitatea prelucrării) din GDPR.

Centrum Medyczne Ujastek Sp. z o.o., cu sediul în Cracovia, în perioada 1-23 iulie 2023 a efectuat o monitorizare prin intermediul supravegherii video, în departamentul de neonatologie, înregistrând imagini în care apăreau atât nou-născuți, cât și mamele acestora în timp ce efectuau activități intime, cum ar fi alăptarea. Potrivit explicațiilor furnizate de companie, copiii ale căror imagini au fost surprinse pe înregistrări nu mai necesitau îngrijiri intensive, iar sănătatea lor nu era în pericol.

În urma investigațiilor, SA Poloneză a constatat că supravegherea video efectuată de către centrul medical a fost efectuată cu încălcarea reglementărilor în vigoare și, în plus, a avut un caracter secret – nici pacienții, nici angajații unității nu au fost informați cu privire la înregistrarea continuă a imaginilor. Totodată, s-a stabilit că cardurile de memorie care conțineau înregistrările nu fuseseră criptate și că dispozitivele utilizate pentru înregistrarea imaginilor nu fuseseră configurate pentru a îndeplini cerințele unității. În plus, analiza riscurilor furnizată de centrul medical nu a acoperit riscurile care au fost cauza incidentului și nu a identificat măsurile de securitate care ar fi putut preveni producerea incidentului. 

În acest context, SA Poloneză a impus o amendă administrativă în valoare de 157 500 euro pentru încălcarea articolului 6 alineatul (1), a articolului 9 alineatul (1) și articolului 13 alineatul (1,2) din GDPR și o amendă de 105 000 euro pentru încălcarea articolului 24 alineatul (1), a articolului 25 alineatul (1) și a articolului 32 alineatul (1,2) din GDPR. 

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.