.jpg){kind=small}
Datatilsynet har gitt Argon Medical Devices en bot på to og en halv million norske kroner.
Boten kommer for brudd på tidsfristen for å rapportere avvik til Datatilsynet. Det melder Datatilsynet på egne nettsider.
72-timersfristen
Artikkel 33 i GDPR slår nemlig fast at når en virksomhet opplever en hendelse som er et brudd på GDPR, skal de «uten ugrunnet opphold» og «senest 72 timer etter å ha fått kjennskap til det» sende avviksmelding til tilsynsmyndighetene.
− Fristen på 72 timer begynner å løpe fra det øyeblikket den behandlingsansvarlige blir klar over at det har skjedd et brudd på personopplsyningssikkerheten, understreker Datatilsynet.
Det er ikke rom for å vente til man har gjort detaljerte undersøkelser, slår de fast.
Argon mente ifølge Datatilsynet at de ikke trengte å melde avviket før de hadde «fullstendig oversikt over hendelsen og alle konsekvensen av den». Det var til og med nedfelt i rutinene til Argon.
Dermed brukte Argon hele 67 dager på å sende avviksmeldingen, etter å ha oppdaget at utenforstående hadde fått tilgang til en av ledernes e-postboks, og helt konkret et excel-ark som inneholdt persondata som lønn og frynsegoder til alle de europeiske ansatte, inkludert én norsk ansatt.
Argon oppdaget sikkerhetsbruddet i juli 2021, men ventet til september samme år med å melde det til det norske og andre europeiske datatilsyn. I mellomtiden hadde de blant annet inne et eksternt selskap som vurderte sikkerhetsbruddet.
Millionbot
Allerede i januar 2022 sendte Datatilsynet varsel om vedtak til Argon. Argon valgte å protestere på det varslede vedtaket skriftlig, men Datatilsynet står likevel ved sitt vedtak.
Bruddet berører krav som er sentrale for at håndhevingregimet til GDPR skal fungere, mener Datatilsynet.
− Overtredelsesgebyret på 2,5 millioner kroner utgjør cirka 2,5 prosent av maksimalt gebyr for slike brudd på personvernforordningen, og 0,1 prosent av Argon sin omsetning, skriver Datatilsynet.
En viktig påminnelse
− Denne saken er en viktig påminnelse om at behandlingsansvarlige – inkludert de som er etablert utenfor EØS – må ha på plass egnede tiltak for omgående å kunne fastslå om det har funnet sted et brudd på personopplysningssikkerheten, og for omgående å underrette tilsynsmyndigheten og den registrerte, skriver Datatilsynet.
Argon kan klage på vedtaket.
Datatilsynet gir John Fredriksen-selskap smekk for epost-innsyn
