Nel trattamento dei dati è necessario valutare il rischio

L'anno scorso l'Ufficio per la protezione dei dati personali ha pubblicato sul suo sito web informazioni sulle sanzioni imposte a due aziende del settore medico per violazioni della protezione dei dati personali. In entrambi i casi si sono verificati attacchi hacker, ma è stata prestata relativamente poca attenzione alle cause profonde, vale a dire un'inadeguata valutazione dei rischi durante l'elaborazione dei dati personali.

Il primo caso ha riguardato la società American Heart of Poland SA, alla quale è stata inflitta una multa di 330.000 euro. A seguito dell'attacco hacker, persone non autorizzate hanno avuto accesso ai dati personali dettagliati di circa 21.000 persone. L'Ufficio per la protezione dei dati personali ha riscontrato che la società non aveva effettuato un'adeguata analisi dei rischi, il che ha portato alla mancanza di misure tecniche e organizzative adeguate per proteggere i dati trattati. I dati violati includevano, tra gli altri: nomi, cognomi, numeri PESEL, dati sanitari e informazioni sui guadagni.