Neuseelands Privacy Commissioner verpflichtet das Patientenportal Manage My Health und Health NZ zur Behebung von Sicherheitsmängeln
Am 23. September 2026 gab Neuseelands Privacy Commissioner Compliance Notices bekannt, die Health NZ und das Patientenportal Manage My Health verpflichten, Sicherheitsmängel zu beheben, die er zum Zeitpunkt des Cybervorfalls bei Manage My Health Ende Dezember 2025 festgestellt hatte. Health NZ muss seine Änderungen bis zum 29. Januar 2027 umsetzen, Manage My Health muss bis zum 31. August 2027 fertig sein.
Die Notices folgen auf den Phase-1-Bericht des Commissioner vom Mai 2026. Er stellte sieben Bereiche fest, in denen Schutzmaßnahmen unwirksam waren, und Manage My Health hat drei davon inzwischen verbessert: die Wirksamkeit der Kontrollen zur Multi-Faktor-Authentifizierung (MFA), die Beschränkung des Nutzerzugriffs auf Informationen und die Kontrolle unbefugter externer Zugriffe. Die Notice an Health NZ betrifft Rule 5(1)(b), wonach eine Stelle alles ihr vernünftigerweise Mögliche tun muss, um unbefugte Nutzung oder Offenlegung zu verhindern, bevor sie Gesundheitsinformationen an einen Dienstleister weitergibt.
Datenschutzteams in Gesundheitsorganisationen, die Patientendaten an Dienstleister weitergeben, sollten prüfen und dokumentieren, wie sie deren Missbrauch verhindern, bevor ein Dienstleister die Daten erhält.
Der Commissioner sagte, Gesundheitsinformationen seien ihrer Natur nach sensible personenbezogene Daten, und der Vorfall habe viele Menschen, whānau und Gemeinschaften getroffen.
OPC Compliance Notices under the Health Information Privacy Code
- Wen das bindet
- Health NZ und Manage My Health in Neuseeland müssen verbindliche Sicherheitsänderungen gemäß dem Health Information Privacy Code umsetzen.
- Was sich geändert hat
- Der Commissioner ist von Feststellungen zu verbindlichen Compliance Notices übergegangen: Beide Organisationen haben nun feste Fristen, um die Sicherheitsregel des Codes einzuhalten.
- Was zu prüfen ist
- Datenschutzteams, die ein Patientenportal oder eine ähnliche Plattform betreuen, sollten zuerst dieselben drei Bereiche testen: MFA, Begrenzung des Nutzerzugriffs und Kontrolle externer Zugriffe.
- Was das nicht bedeutet
- Diese Durchsetzungsmaßnahme ändert nichts an den gesetzlichen Vorschriften für die Offenlegung von Gesundheitsdaten außerhalb von Dienstleisterbeziehungen.
An Ihr Team weiterleiten
Der Commissioner hob die Māori in Northland hervor, wo 90 Prozent der betroffenen Patienten leben, deren Daten gestohlen wurden.