53.791 Euro Bußgeld gegen Region Midtjylland
Kein ausreichender Zutrittsschutz zu einem Gebäude, das ein Archiv mit Patientenakten enthielt.

Das vorliegende Bußgeld steht mit einer Datenpanne im Zusammenhang, welche die dänische Region Midtjylland am 12. Juni 2020 der dänischen Datenschutzbehörde gemeldet hatte. Alle Patienten und Mitarbeiter eines Lifestyle-Zentrums in Brædstrup besaßen Zutritt zu einem Gebäude, in dem bis zu 100.000 physische Patientenakten der Einrichtung gelagert waren. Diese enthielten mitunter Informationen zum Gesundheitszustand der Betroffenenen. Des Weiteren konnten Passanten durch ein Fenster des Gebäudes einen Blick auf die Einbände einiger Akten werfen, auf denen Personennummern, Namen und medizinische Fachbereiche vermerkt waren.

Der mangelnde Zutrittsschutz war darauf zurückzuführen, dass die an Personal und Patienten ausgegebenen Schlüsselkarten pauschal Zutritt zu allen drei Gebäuden des Lifestyle-Zentrums gewährten, unabhängig davon, ob der Benutzer diesen benötigte bzw. dafür autorisiert war. Darüber hinaus waren die Fenster des Gebäudes nicht mattiert oder anderweitig vor Einsicht von außen geschützt.

Die Behörde erkannte darin eine Verletzung der Pflicht der Region Midtjylland, technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko für die Betroffenen angemessenes Schutzniveau zu gewährleisten. In diesem Zusammenhang stellt die Behörde ebenso fest, dass die Region keine ordnungsgemäßen Leitlinien für Zutrittsbeschränkungen bei der Erstellung von Schlüsselkarten aufgestellt und außerdem keine angemessenen, regelmäßigen Tests, Bewertungen und Evaluierungen der getroffenen Sicherheitsmaßnahmen durchgeführt hatte.