Ao processar dados, é necessário avaliar o risco

No ano passado, o Escritório de Proteção de Dados Pessoais publicou em seu site informações sobre as multas impostas a duas empresas do setor médico por violações da proteção de dados pessoais. Em ambos os casos, ocorreram ataques de hackers, mas relativamente pouca atenção foi dada às suas causas raiz, ou seja, avaliação de risco inadequada no processamento de dados pessoais.

O primeiro caso envolveu a empresa American Heart of Poland SA, que foi multada em 330.000 euros. Como resultado do ataque hacker, pessoas não autorizadas obtiveram acesso a dados pessoais detalhados de aproximadamente 21.000 pessoas. O Gabinete de Proteção de Dados Pessoais concluiu que a empresa não realizou uma análise de risco adequada, o que levou à falta de medidas técnicas e organizacionais adequadas para proteger os dados que estavam a ser processados. Os dados violados incluíam, entre outros: nomes, sobrenomes, números PESEL, dados de saúde e informações sobre rendimentos.