Bij het verwerken van gegevens is het noodzakelijk om het risico te beoordelen

Vorig jaar publiceerde het College Bescherming Persoonsgegevens op zijn website informatie over de boetes die aan twee bedrijven uit de medische sector zijn opgelegd vanwege schendingen van de bescherming van persoonsgegevens. In beide gevallen vonden hackeraanvallen plaats, maar werd er relatief weinig aandacht besteed aan de grondoorzaken ervan: een ontoereikende risicobeoordeling bij de verwerking van persoonsgegevens.

De eerste zaak betrof het bedrijf American Heart of Poland SA, dat een boete van 330.000 euro kreeg. Door de hackeraanval kregen onbevoegden toegang tot de gedetailleerde persoonsgegevens van ongeveer 21.000 personen. Het Bureau voor de bescherming van persoonsgegevens stelde vast dat het bedrijf geen behoorlijke risicoanalyse had uitgevoerd, waardoor er geen passende technische en organisatorische maatregelen waren genomen om de verwerkte gegevens te beschermen. De gestolen gegevens omvatten onder meer: namen, achternamen, PESEL-nummers, gezondheidsgegevens en informatie over inkomsten.