L'Autorité norvégienne de protection des données a publié un projet de décision ordonnant à Helseplattformen AS de prendre des mesures correctrices pour des manquements liés à des responsabilités mal définies, un système de gouvernance insuffisant et des défaillances techniques.

Cette affaire débute par un grand nombre de notifications de violations de la sécurité des données à caractère personnel et plusieurs signalements d'inquiétude adressés à l'autorité.

L’enquête menée par l’autorité, qui a inclus des contrôles auprès de Helseplattformen AS ainsi que de l'Hôpital St. Olav HF et de la Municipalité de Melhus en tant qu'utilisateurs, a permis de constater :
* Responsabilité du responsable du traitement (article 24 du RGPD) : L'autorité a relevé des faiblesses dans l'organisation et la répartition des responsabilités de Helseplattformen AS, identifiée comme unique responsable du traitement pour la solution. Il a été noté que le fonctionnement de la plateforme reposait en partie sur le fait que les entités utilisatrices, notamment les établissements de santé, assumaient des responsabilités qui ne leur incombaient pas juridiquement.

* Sécurité du traitement (article 32 du RGPD) : Des défaillances techniques ont été identifiées dans la solution. L'autorité a précisé qu'un suivi particulier serait effectué sur plusieurs aspects techniques, incluant la gestion des accès, la journalisation et la gestion des incidents.

En conséquence, l'autorité a notifié à Helseplattformen AS son intention de prononcer une injonction de mise en conformité, l'entreprise ayant jusqu'au 6 janvier pour présenter ses observations.

En outre, l’autorité a ordonné à Helseplattformen AS de préparer un calendrier pour les travaux de remédiation.