Multato Il National Genoma Center

L'Agenzia danese per la protezione dei dati notifica alla polizia il National Genome Center e raccomanda una multa di 50.000 DKK L'Autorità valuta che il centro abbia violato le regole del GDPR avviando il trattamento delle informazioni senza consultare l'Agenzia danese per la protezione dei dati.

Il 9 dicembre 2021, l'Agenzia danese per la protezione dei dati ha ricevuto una valutazione d'impatto sulla protezione dei dati (DPIA) dal National Genome Center (NGC), che elabora le informazioni sul sequenziamento genico. La valutazione d'impatto ha mostrato che, dopo l'avvio del trattamento, NGC era stata informata di condizioni che potevano rappresentare un rischio elevato per i diritti degli interessati.

A seguito di un'indagine iniziale sul caso, il 13 gennaio 2022 l'Agenzia danese per la protezione dei dati ha imposto un divieto temporaneo di ulteriore raccolta di dati personali e una limitazione del trattamento delle informazioni già raccolte per includere solo la conservazione. Il divieto e la limitazione del trattamento dovevano applicarsi fino a quando l'NGC non avesse rispettato le regole sul contenuto di una DPIA e fino a quando non fosse stato disponibile un parere dell'Agenzia danese per la protezione dei dati, se necessario. L'Agenzia danese per la protezione dei dati si riserva il diritto di utilizzare in seguito tutti i suoi poteri in relazione a un'eventuale sanzione.

Nel periodo successivo al 9 dicembre 2021, NGC, dopo aver consultato e dialogato con l'Agenzia danese per la protezione dei dati, ha presentato documentazione aggiuntiva e verificato parti del materiale già presentato.

Violazione delle norme sulla consultazione con l'Agenzia danese per la protezione dei dati

Dopo un esame del caso, l'Agenzia danese per la protezione dei dati ha riscontrato che NGC non ha agito in conformità con le regole, poiché ha iniziato a trattare i dati personali senza consultare l'Agenzia danese per la protezione dei dati, anche se la propria valutazione d'impatto ha mostrato che c'era un rischio elevato per i diritti degli interessati.

L'Agenzia danese per la protezione dei dati ha sottolineato che la descrizione di conseguenza e probabilità da parte di NGC, nonché la descrizione del rischio del prodotto, avrebbero dovuto indurre NGC a concludere che esistevano scenari di rischio nella categoria che NGC stessa chiamava "alti", che contenevano un elevato residuo rischio che non è stato abbattuto.

L'Agenzia danese per la protezione dei dati ha posto un'enfasi particolare sul fatto che la descrizione di NGC del rischio residuo esistente era sostanzialmente identica alla formulazione di ciò che è descritto come un rischio elevato a livello europeo (cfr . da ottobre 2017 ). Inoltre, l'Agenzia danese per la protezione dei dati è generalmente del parere che, in caso di conseguenze di più ampia portata per gli interessati, una probabilità molto limitata di realizzazione può essere tollerata solo prima che vi sia un rischio complessivamente elevato.

Perché denunciare alla polizia?

L'Agenzia danese per la protezione dei dati personali effettua sempre una valutazione concreta della gravità del caso nel valutare quale sanzione sia, secondo l'Autorità, la più appropriata.

Nella sua raccomandazione alla polizia, l'Agenzia danese per la protezione dei dati ha, tra l'altro, ha sottolineato l'elevata qualità del lavoro a rischio presso NGC e il contributo molto attivo di NGC alle informazioni sul caso, che ha ridotto significativamente i tempi di elaborazione del caso.

"Prendiamo questo caso molto sul serio perché si tratta del principio di base che se il trattamento dei dati personali da parte di un'organizzazione rappresenta un rischio elevato per le persone coinvolte, l'organizzazione deve lavorare con il rischio e ridurlo prima di iniziare a elaborare le informazioni. ”, spiega Allan Frank, specialista in sicurezza informatica e avvocato presso l'Agenzia danese per la protezione dei dati, e continua:

“Se l'organizzazione non è stata in grado di ridurre il rischio effettuando la valutazione d'impatto, è necessario prima consultare l'Agenzia danese per la protezione dei dati per garantire che il trattamento sia legale e che il titolare del trattamento abbia identificato tutti i rischi necessari e ridotto il rischio. In altre parole, si tratta di una significativa garanzia di certezza del diritto per i diritti dei cittadini. Se lo ignori, pregiudichi le opportunità dell'Agenzia danese per la protezione dei dati di venire a conoscenza e verificare la liceità del trattamento, il che comporta un grande rischio per le persone le cui informazioni vengono trattate. ”

Source by Redazione