挪威Dignio医疗App违规将用户健康数据长期存储在安全性不足的境外云服务器案

【案件背景】
2022年，挪威数据保护局对医疗科技公司Dignio进行调查，发现该公司运营的远程患者监测App将用户的健康数据（包括用药记录、生命体征测量数据、疾病管理日志等）长期存储在安全措施不足的境外云服务器中，且未向用户充分披露存储地点和风险。

【违法事实】
一是医疗健康数据作为GDPR特殊类别数据，应适用最严格的存储安全标准，但Dignio将数据存储在未经过充分安全审计的境外云服务商基础设施中；二是未进行充分的数据保护影响评估（DPIA）——将大规模医疗数据存储于云端属于高风险处理，依法须进行DPIA；三是数据存储期限未明确——App收集的用户长期健康监测数据被无限期保留；四是未向用户清楚披露数据存储于境外的风险和相关保障措施。

【处罚决定】
挪威数据保护局依据GDPR第9条、第32条和第35条，对Dignio处以450万挪威克朗（约合45万欧元）罚款，要求将用户健康数据迁回挪威或欧盟境内的合规数据中心。

【典型意义】
一是医疗数据的境外云存储在GDPR下适用双重严格审查——既需满足特殊类别数据的安全性要求，又需满足国际传输的合规要求；二是警示数字医疗创业公司不能以'快速迭代'为由牺牲数据存储安全；三是医疗数据的高价值使其成为网络攻击的首要目标，存储安全不容妥协。