Hospitaler får kritik for behandling af personoplysninger

Så er den gal igen efter en myndighed har haft besøg af Datatilsynet.

Denne gang er det regioner og hospitaler, som har haft fornøjelsen af inspektion – og som konsekvens heraf uddeler Datatilsynet kritik til fem steder.

Det handler især om databehandleraftaler samt den dataansvarliges pligt til at føre kontrol med deres databehandlere. 

Databehandlere er det ømme punkt

I sagerne udtalte Datatilsynet kritik for overtrædelse af flere forhold.

Det fremgår af udtalelserne, at databehandleraftaler skal indeholde en klar tilkendegivelse om, at databehandleren alene handler efter instruks fra den dataansvarlige. 

Aftaler, som ikke indeholder en sådan tilkendegivelse, kan ifølge tilsynet ikke anses som en databehandleraftale.

Ikke nok at se på log

Datatilsynet pointerer også, at det ikke er tilstrækkelig kontrol, at databehandlerens adgang logges, og at der føres kontrol hermed. 

Det er heller ikke tilstrækkeligt, at databehandlerens ansatte underskriver en fortrolighedsaftale inden tildeling af adgang til personoplysningerne, ligesom manglende ressourcer heller ikke dur som undskyldning.

Med de fem udtalelser understreger Datatilsynet altså igen, at dataansvarlige myndigheder bla. skal udarbejde en klar og tydelig instruks til databehandlere i databehandleraftaler, samt løbende føre en tilstrækkelig kontrol med de anvendte databehandlere.