荷兰Haga医院因未进行充分DPIA致85名员工非必要访问患者医疗记录被罚46万欧元案

【案件背景】
2019年7月，荷兰数据保护局（AP）对海牙Haga医院处以46万欧元罚款，原因是该医院的电子病历系统缺乏足够的安全保护措施，导致数十名医院员工在无正当业务理由的情况下访问了患者的医疗记录。该案件虽然发生较早，但至今仍是欧洲医疗行业DPIA和安全风险评估的基准性案例。Haga医院是荷兰大型综合性医疗机构，年接诊患者数十万人次，其电子病历系统存储了海量敏感医疗数据。

【违法事实】
经AP调查认定：一是DPIA严重不足——医院在处理大规模敏感医疗数据前，未按照GDPR第35条的要求进行充分的数据保护影响评估，特别是在评估内部人员未经授权访问医疗记录的风险方面存在重大缺失；二是85名非本应接触患者信息的工作人员在无合理业务目的的情况下查看了患者的电子医疗记录——其中包括行政人员、后勤人员以及其他与患者诊疗无关的部门员工；三是缺乏基于角色的最小权限控制机制——医院的病历系统采用宽泛的访问权限设置，员工可以轻易浏览任何患者的医疗记录而不留下充分的审计痕迹；四是审计日志机制失效——医院未能实施足够有效的审计日志和异常行为检测机制，无法及时发现和阻止不必要的医疗记录访问。

【处罚决定】
荷兰AP依据GDPR第32条（处理的安全性）和第35条（数据保护影响评估），对Haga医院处以46万欧元（€460,000）行政罚款。要求医院实施基于角色的访问控制、完善审计日志系统，并重新进行全面的DPIA。

【典型意义】
本案是欧洲医疗行业DPIA和安全风险评估的长期基准性案例。一是内部威胁是DPIA必须评估的核心风险——医疗数据保护的风险不仅来自外部攻击，内部人员的非必要访问同样构成重大风险，DPIA必须针对'内部人风险'给出系统的识别和缓解方案；二是基于角色的访问控制是DPIA中技术措施设计的底线——'人人可看'的病历访问权限是任何DPIA都应识别并否定的安全设计；三是金额虽不大但意义深远——46万欧元的罚款对一家大型医院并非天文数字，但该案确立了医疗行业DPIA在内部访问控制方面的合规基准，影响了后续多起类似案件的判决。