67.227 Euro Bußgeld gegen Region Syddanmark
Fehlende Berechtigungsprüfung ermöglicht Zugriff auf Gesundheitsdaten von über 30.000 Kindern.

Die dänische Datenschutzbehörde nahm Ermittlungen gegen die dänische Region Syddanmark (Süddänemark) auf, nachdem sich ein Bürger über die mangelnde Sicherheit bei der Verarbeitung der Daten seines Kindes beschwert hatte. Kurz darauf meldete die Region der Behörde eine entsprechende Datenpanne gem. Art. 33 DSGVO.

Der Bußgeldempfänger hatte über einen Zeitraum von mehr als 1,5 Jahren eine Datenbank für klinische und Forschungszwecke unterhalten und diese nicht ausreichend gegen unbefugte Zugriffe gesichert. Aufgrund einer fehlenden Berechtigungsprüfung war es durch die Manipulation von URLs möglich, Zugang zu in der Datenbank gespeicherten PDF-Dokumenten zu erhalten. Dadurch konnten Personen, die in der Datenbank registriert waren, auf die personenbezogenen Daten von anderen registrierten Personen zugreifen. Die Datenbank enthielt Fragebögen mit Gesundheitsinformationen von mehr als 30.000 Kindern, die in der Psychiatrie behandelt wurden.

Die Datenschutzbehörde wertete dies als eine Verletzung der Pflicht des Bußgeldempfängers, adäquate technische und organisatorische Maßnahmen zu implementieren, die ein dem Risiko für die Betroffenen angemessenes Schutzniveau gewährleisten.

Bei der Verhängung des Bußgelds berücksichtigte die Behörde erschwerend, dass der Vorfall die Gesundheitsdaten einer besonders schutzbedürftigen Gruppe von Minderjährigen betraf. Ebenso wurde negativ gewertet, dass es in der Vergangenheit bereits schon einmal zu einer ähnlichen Datenpanne bei der Region gekommen war und der Verantwortliche daraufhin keine wirksamen Maßnahmen entwickelt sowie einer regelmäßigen Prüfung und Evaluierung unterzogen hatte.