Veriler işlenirken riskin değerlendirilmesi gerekir

Kişisel Verileri Koruma Kurumu, geçen yıl sağlık sektöründe faaliyet gösteren iki şirkete kişisel verilerin korunmasına ilişkin ihlaller nedeniyle verilen para cezalarına ilişkin bilgileri internet sitesinde yayımlamıştı. Her iki durumda da hacker saldırıları gerçekleşmiş ancak bunların temel nedenlerine, yani kişisel verilerin işlenmesinde yetersiz risk değerlendirmesine nispeten az dikkat edilmiştir.

İlk dava, 330.000 avro para cezasına çarptırılan American Heart of Poland SA şirketiyle ilgiliydi. Yapılan hacker saldırısı sonucunda yetkisiz kişiler yaklaşık 21 bin kişinin detaylı kişisel verilerine erişim sağladı. Kişisel Verileri Koruma Kurumu, şirketin uygun bir risk analizi yapmadığını, bu nedenle işlenen verilerin korunması için uygun teknik ve idari tedbirlerin alınmadığını tespit etti. İhlal edilen veriler arasında şunlar da yer alıyor: ad, soyad, PESEL numarası, sağlık verileri ve kazanç bilgileri.