Bei der Verarbeitung von Daten ist eine Risikobewertung erforderlich

Im vergangenen Jahr veröffentlichte das Amt für den Schutz personenbezogener Daten auf seiner Website Informationen über die gegen zwei Unternehmen aus dem medizinischen Sektor verhängten Geldbußen wegen Verstößen gegen den Schutz personenbezogener Daten. In beiden Fällen kam es zwar zu Hackerangriffen, deren Ursachen – d. h. einer unzureichenden Risikobewertung bei der Verarbeitung personenbezogener Daten – jedoch vergleichsweise wenig Beachtung geschenkt wurde.

Der erste Fall betraf das Unternehmen American Heart of Poland SA, das zu einer Geldstrafe von 330.000 Euro verurteilt wurde. Durch den Hackerangriff erlangten Unbefugte Zugriff auf detaillierte persönliche Daten von rund 21.000 Personen. Das Amt für den Schutz personenbezogener Daten stellte fest, dass das Unternehmen keine ordnungsgemäße Risikoanalyse durchgeführt hatte, weshalb es an geeigneten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten mangelte. Zu den gestohlenen Daten gehörten unter anderem: Vor- und Nachnamen, PESEL-Nummern, Gesundheitsdaten und Angaben zum Einkommen.