Al procesar datos, es necesario evaluar el riesgo

El año pasado, la Oficina de Protección de Datos Personales publicó en su página web información sobre las multas impuestas a dos empresas del sector médico por violaciones a la protección de datos personales. En ambos casos se produjeron ataques piratas informáticos, pero se prestó relativamente poca atención a sus causas fundamentales, es decir, una evaluación inadecuada de los riesgos al procesar datos personales.

El primer caso se refería a la empresa American Heart of Poland SA, que fue multada con 330.000 euros. Como resultado del ataque hacker, personas no autorizadas obtuvieron acceso a datos personales detallados de aproximadamente 21.000 personas. La Oficina de Protección de Datos Personales determinó que la empresa no había realizado un análisis de riesgos adecuado, lo que dio lugar a una falta de medidas técnicas y organizativas apropiadas para proteger los datos objeto de tratamiento. Los datos violados incluían, entre otros: nombres, apellidos, números PESEL, datos de salud e información sobre ingresos.