冰岛Persónuvernd罕见将医院员工个人认定为控制者并予斥责：2021至2024年间9次查阅无诊疗关系的患者病历且无法说明法律依据

事实层面：该员工在2021年12月至2024年7月期间共9次查阅该患者的电子病历，而两人之间不存在任何诊疗关系。医院电子病历监督委员会先行核查后认定，该员工未能证明其查阅具有正当理由；监管机关进一步审查了查阅是否为特定明确目的所必需，结论是其超出访问权限。

法律定性层面，Persónuvernd认定该员工应对相关处理负责，即在其个人目的范围内构成独立的个人信息控制者，违反了GDPR第5条第1款、第5条第2款、第6条第1款与第9条第2款。该员工既无法证明法律依据，也未回应监管机关的问询，这本身构成加重情节。

本案与同期克罗地亚AZOP对Konzum的处罚形成鲜明对照：当员工在组织指挥链内行事时，由雇主依第32条承担安全保障责任；当员工出于自身目的、脱离诊疗关系行事时，监管机关直接指向个人。这条界线对医疗机构的合规含义是：访问日志审计、异常查阅告警与最小必要权限必须同时到位，否则雇主同样难以免责。