Халатное обращение с личными данными: суд отменил назначенный таллиннской больнице штраф в 200 000 евро

Корпус Магдалеэна Ида-Таллиннской центральной больницы. Фото: Mihkel Maripuu

В четверг Харьюский уездный суд отменил огромный штраф, наложенный Инспекцией по защите данных на Ида-Таллиннскую центральную больницу за небрежное обращение с личными данными, поскольку действующие в Эстонии законы пока не позволяют оштрафовать юридическое лицо за нарушение защиты личных данных.

Этой зимой Ида-Таллиннская центральная больница (ITK) получила от Инспекции по защите данных (AKI) штраф в размере 200 000 евро. Все началось с реконструкции поликлиники Магдалена, которая началась в прошлом году.

Во время строительных работ были уничтожены и старые архивные документы Ида-Таллиннской центральной больницы. К зданию больницы был доставлен контейнер высотой 1,7 метра, куда уборщики кидали старые документы. Сотрудник Инспекции по защите данных проходил мимо контейнера и сфотографировать его содержимое.

На основании этого AKI начала производство по подозрению в нарушении требований защиты личных данных. ITK представила свои распорядок и политику, связанные с обработкой личных данных, все связанные с этим сотрудники, вплоть до председателя правления, дали свои показания.

13 февраля этого года Инспекция по защите данных в рамках производства о проступке оштрафовала Ида-Таллиннскую центральную больницу на 200 000 евро за нарушение требований безопасности личных данных. Больница обжаловала это решение в суде, и в четверг Харьюский уездный суд постановил отменить решение о штрафе и завершить производство о проступке. Решение не вступило в силу, и Инспекция по защите данных может обжаловать решение в Госсуде.

Законного основания для штрафа не было

По словам адвокатов адвокатского бюро Triniti Кармен Турк и Маарьи Пильд, юристы, работающие в сфере защиты данных, уже годами обращают внимание на то, что законодательство Эстонии еще не готово к огромным штрафам Евросоюза.

Хотя регламент ЕС о защите персональных данных GDPR вступил в силу уже в 2018 году, Рийгикогу лишь 22 февраля этого года дополнил Пенитенциарный кодекс таким образом, что он позволяет за нарушение регламента ЕС о защите данных назначать штраф и юридическому лицу. Поправка к закону вступит в силу в ноябре, поэтому Инспекция по защите данных в настоящее время не имеет в Эстонии правовых оснований для выписывания штрафа юридическому лицу за нарушение требований защиты персональных данных. К такому же выводу в четверг пришел и Харьюский уездный суд.