La Oficina del Comisionado de Información del Reino Unido (ICO) ha pedido «serias mejoras» en los procesos de protección de datos para las organizaciones que manejan información sobre enfermos de VIH, después de reprender a un organismo del NHS.
Según la ICO, el NHS Highland envió correos electrónicos a 37 personas con probabilidades de acceder a los servicios de VIH, pero utilizó erróneamente la función CC en lugar de BCC, exponiendo sus datos entre sí.
Además, afirmó que una persona confirmó que reconocía a otras cuatro personas en la lista de correo electrónico, una de las cuales era una pareja sexual anterior. Dos pacientes presentaron quejas formales al NHS Highland, y uno de ellos presentó más de una queja.
NHS Highland se libró de una multa de 35.000 libras, en línea con el nuevo enfoque más suave del regulador con los organismos del sector público, pero el ICO abofeteó al consejo de salud por un «grave abuso de confianza».
También aprovechó la oportunidad para recordar a cualquier organización que maneje información altamente sensible de este tipo que debe tener especial cuidado.
Como parte de la amonestación, NHS Highland tendrá ahora que revisar las políticas de protección de datos y de correo electrónico, incluido el uso de correos electrónicos en grupo, y utilizar las «medidas técnicas y organizativas adecuadas» cuando envíe correos electrónicos en grupo que contengan información muy sensible. También debe considerar la realización de una evaluación interna de cumplimiento del GDPR de formación del Reino Unido, dijo la ICO.