Lors du traitement des données, il est nécessaire d'évaluer le risque

L'année dernière, l'Office de protection des données personnelles a publié sur son site Internet des informations sur les amendes imposées à deux entreprises du secteur médical pour violation de la protection des données personnelles. Dans les deux cas, des attaques de pirates informatiques ont eu lieu, mais relativement peu d’attention a été accordée à leurs causes profondes, à savoir une évaluation inadéquate des risques lors du traitement des données personnelles.

La première affaire concernait la société American Heart of Poland SA, qui a été condamnée à une amende de 330 000 euros. À la suite de l’attaque informatique, des personnes non autorisées ont eu accès aux données personnelles détaillées d’environ 21 000 personnes. Le Bureau de protection des données personnelles a constaté que l'entreprise n'avait pas procédé à une analyse de risque appropriée, ce qui a conduit à un manque de mesures techniques et organisationnelles appropriées pour protéger les données traitées. Les données piratées comprenaient, entre autres : noms, prénoms, numéros PESEL, données de santé et informations sur les revenus.