W listopadzie 2022 r. wpłynęła do Prezesa UODO informacja, że w pewnym szpitalu błędnie wydano dokumentację medyczną innemu pacjentowi.  Dokumentacja zawierała imię, nazwisko, datę urodzenia, numer PESEL oraz dotyczące zdrowia. Prezes UODO, po otrzymaniu informacji o możliwości wystąpienia naruszenia ochrony danych osobowych w Szpitalu, pismami z 15 i 25 listopada 2022 r. zwrócił się do Administratora o wyjaśnienie, czy w związku z omyłkowym wydaniem dokumentu w postaci Przedoperacyjnej Ankiety Anestezjologicznej osobie nieuprawnionej została dokonana analiza pod kątem wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych niezbędna do oceny, czy doszło do naruszenia ochrony danych osobowych skutkującego koniecznością zawiadomienia Prezesa UODO oraz osoby, której dane dotyczą. W odpowiedzi na wezwanie Prezesa UODO, Administrator pismem z 5 grudnia 2022 r. wskazał, że ze względu na brak zgłoszenia pomyłki przy wydawaniu dokumentacji w momencie jej wystąpienia nie miał możliwości jednoznacznego zidentyfikowania incydentu. Ponadto wskazano, że Dział (…) został zobowiązany do sprawdzenia historii choroby osoby, której dane dotyczą, pod kątem nieprawidłowości w wystawieniu dokumentacji, jednak stwierdzono, iż wszystkie dokumenty zgodne są ze standardem i zawierają poprawną ankietę anestezjologiczną. W ww. piśmie Administrator wskazał także, że zawiadomił osobę, której dane dotyczą, o naruszeniu ochrony jej danych osobowych oraz wdrożył środki zaradcze poprzez odbycie rozmowy z kierownikiem oddziału oraz pracownikami medycznymi, jak również ustalił termin szkolenia „Postępowanie w przypadku naruszenia i ochrony danych osobowych”. 14 lutego 2023 r. Prezes UODO skierował do Administratora pismo, w którym wezwał go do przedstawienia wyników analizy ryzyka, na podstawie której stwierdzono brak wystąpienia wysokiego ryzyka naruszenia praw lub wolności osób fizycznych oraz treści informacji przekazanej osobie, której dane dotyczą. Pismem z 24 lutego 2023 r. Szpital przekazał informacje dotyczące przeprowadzonej analizy ryzyka oraz przedstawił treść zawiadomienia skierowanego do osoby, której dane dotyczą. Administrator zgłosił naruszenie ochrony danych osobowych dopiero w chwili otrzymania od Prezesa UODO zawiadomienia o wszczęciu postępowania, tj. 27 marca 2024 r., tym samym nie dochowując terminu 72 godzin na zgłoszenie naruszenia ochrony danych osobowych. W ramach ww. zgłoszenia Szpital przekazał m.in. informację o tym, że zawiadomił […]