Per­sónu­vernd lagði Land­lækni en sektin milduð

Landlæknisembættið hafði krafist þess fyrir Héraðsdómi Reykjavíkur að hann ógilti ákvörðun Persónuverndar frá 27. júlí 2023 þar sem embættið var sektað um tólf milljónir króna vegna öryggisveikleika á vefnum Heilsuvera.is. 

Embættið tryggði ekki öryggi persónuupplýsinga með fullnægjandi hætti á árunum 2015 til 2020, að sögn Persónuverndar. Öryggisveikleikinn uppgötvaðist 8. júní 2020 en hann náði til afmarkaðs hluta mæðraverndar og samskiptahluta á Mínum síðum á Heilsuvera.is. 

Innan við klukkustund var veikleikinn staðfestur af Origo, sem rekur Heilsuveru, og vefnum lokað. Þá tók um fimm klukkustundir að laga veikleikann og koma kerfinu aftur í notkun. 

Í téðri ákvörðun Persónuverndar kom fram að starfsmenn embættisins hefðu gefið Persónuvernd misvísandi og villandi upplýsingar við meðferð málsins varðandi umfang öryggisveikleikans.

Í bréfi embættisins til Persónuverndar kom fram að öryggisbresturinn kynni að hafa áhrif á 205.407 skjöl sem vistuð voru hjá Heilbrigðisstofnun Suðurnesja og tengdust 41.390 einstaklingum, að því er fram kemur í dómnum sem birtur var á vefsvæði Héraðsdóms í dag.

Héraðsdómur féllst á nálgun Persónuverndar að ófullnægjandi upplýsingaöryggi teldist vera sérlega alvarlegt. Ótvírætt hafi verið heimild og tilefni til að beita sekt í ljósi brota embættisins.

Aftur á móti bendir dómurinn á að embætti landlæknis hafi verið samvinnufúst við rannsókn Persónuverndar á öryggisbrestunum og átt heldur óhægt um vik með að afhenda stefnda snarlega umbeðin gögn.

Því taldi dómurinn við hæfi að fallast á þrautavarakröfu Landlæknis um að stjórnvaldssekt, í ákvörðun stefnda, dags. 27. júní 2023, lækki úr 12.000.000 króna í 8.000.000 króna.