Embætti landlæknis hefur ákveðið að krefjast þess fyrir Héraðsdómi Reykjavíkur að ógild verði með dómi ákvörðun Persónuverndar dags. 27. júlí 2023. Telur embættið ákvörðunina vera efnislega ranga.

Þetta kemur fram í tilkynningu frá embættinu, þar sem rifjað er upp að málið taki til öryggisveikleika í upplýsingakerfinu Heilsuveru.

https://www.mbl.is/frettir/innlent/2023/07/03/landlaeknisembaettid_sektad_um_12_milljonir/

Til þess fallin að grafa undan öryggismenningu

„Embættið telur meðferð Persónuverndar á umræddu máli ekki samboðna þeim reglum sem eru til grundvallar íslensku réttarríki,“ segir í tilkynningu embættisins.

Þá segir að ákvörðun Persónuverndar, standi hún óhögguð, sé meðal annars til þess að fallin að grafa undan öryggismenningu og persónuvernd hér á landi og fæla annars ábyrga aðila frá því að tilkynna um öryggisbresti og atvik er varða öryggi upplýsingakerfa.

„Þetta getur veikt stöðu stofnana þjóðfélagsins sem reka og hafa umsjón með mikilvægum upplýsingakerfum og dregið úr mikilvægu hlutverki Persónuverndar sem er að standa vörð um persónuupplýsingar landsmanna.“

Rannsóknin sögð ófullnægjandi

Tekið er fram að embætti landlæknis geri margvíslegar og alvarlegar athugasemdir við starfshætti og málsmeðferð Persónuverndar í málinu.

„Þar á meðal telur embættið að bæði form- og efnisannmarkar séu á ákvörðun Persónuverndar, forsendur ákvörðunarinnar séu rangar og að rannsókn málsins af hálfu Persónuverndar hafi verið ófullnægjandi. Að auki byggi sektarákvörðun á ólögmætum og ómálefnalegum sjónarmiðum.

Þá telur embætti landlæknis mikilvægt að fá umfjöllun dómstóla um ýmis þau atriði persónuverndarlaga sem uppi eru í þessu máli og máli skipta bæði fyrir embætti landlæknis og almennt séð.“

Brugðist við með skjótum hætti

Loks segir að embættið skorist ekki undan ábyrgð hvað varðar umræddan öryggisveikleika.

„Við honum var brugðist með skjótum og fumlausum hætti og með ítarlegri greiningu. Þá var staðreynt að enginn misnotaði öryggisveikleikann og að þær afmörkuðu persónuupplýsingar notenda Heilsuveru sem öryggisveikleikinn náði til lentu ekki í höndum einstaklinga sem reyndu að nýta þær í ólögmætum tilgangi.

Þannig leiddi öryggisveikleikinn til minniháttar öryggisbrests sem Persónuvernd var tilkynnt um samdægurs.“