Samkvæmt tilkynningu landlæknisembættisins í fyrra uppgötvaðist öryggisveikleikinn þann 8. júní 2020 en hann náði til afmarkaðs hluta mæðraverndar og samskiptahluta á Mínum síðum á Heilsuvera.is.
Á innan við klukkustund var veikleikinn staðfestur af Origo, sem rekur Heilsuveru, og vefnum lokað. Þá tók um fimm klukkustundir að laga veikleikann og koma kerfinu aftur í notkun.
Persónuvernd var gert viðvart samdægurs en í úrskurði Persónuverndar, þremur árum síðar sökum Covid-19, var komist að þeirri niðurstöðu að landlæknisembættið hefði ekki tryggt öryggi upplýsinga á hluta Heilsuveru með fullnægjandi hætti.
Þá sagði að starfsmenn embættisins hefðu gefið Persónuvernd misvísandi og villandi upplýsingar við meðferð málsins varðandi umfang öryggisveikleikans.
Í tilkynningu landlæknisembættisins um þá ákvörðun að fá úrlausn málsins fyrir dómstólum segir að embættið telji ákvörðun Persónuverndar efnislega ranga, auk þess sem meðferð málsins sé ekki samboðin „þeim reglum sem eru til grundvallar íslensku réttarríki“.
Ákvörðunin sé meðal annars til þess fallin að grafa undan öryggismenningu og persónuvernd og fæla annars ábyrga aðila frá því að tilkynna um öryggisbresti og atvik er varða öryggi upplýsingakerfa.
„Embætti landlæknis gerir margvíslegar og alvarlegar athugasemdir við starfshætti og málsmeðferð Persónuverndar í málinu. Þar á meðal telur embættið að bæði form- og efnisannmarkar séu á ákvörðun Persónuverndar, forsendur ákvörðunarinnar séu rangar og að rannsókn málsins af hálfu Persónuverndar hafi verið ófullnægjandi. Að auki byggi sektarákvörðun á ólögmætum og ómálefnalegum sjónarmiðum. Þá telur embætti landlæknis mikilvægt að fá umfjöllun dómstóla um ýmis þau atriði persónuverndarlaga sem uppi eru í þessu máli og máli skipta bæði fyrir embætti landlæknis og almennt séð,“ segir í tilkynningunni.
