GDPR Case 048. London pharmacy fined after “careless” storage of patient data

日期：20 December 2019

國家：英國

關鍵字：特種個人資料；健康資料；適當安全措施；毀損個人資料

GDPR：§9 (processing of special categories of personal data)、§32 (security of processing)

裁決：行政罰鍰（£275,000）

摘要：

(1) 監管機關對控管者 Doorstep Dispensaree Ltd——一家位於倫敦的藥局——課處 £275,000 行政罰鍰，因為該公司未能確保客戶健康資料的安全性。

(2) 該藥局長期對個人客戶以及療養院提供醫藥服務，因此累積了大約 500,000 份的文件，並且保存在藥局後院未上鎖的櫃子裡。

(3) 這些文件內容，包括客戶姓名、地址、出生年月日、醫保號碼、醫療資訊，以及不明人數的處方箋，其中，有部分文件因為沒有得到適當的保護，因而發生水損。

(4) 監管機關認為，本件是因為控管者的粗心態度，疏於採取妥善保存措施而導致「毀損」客戶特種資料（健康資料）之結果，違反 GDPR §32 之規定，應予課罰。