Lækkede dokumenter peger på et internt kartotek over læger og ordinationer. Det kan blive en compliance-sag med både omdømme- og regulatorisk risiko.
Novo Nordisk risikerer en ny og følsom efterdønning af årets hackerhændelse, efter at lækkede dokumenter angiveligt viser et internt kartotek over læger og deres ordinationsmønstre.
Materialet kan udløse både tillidsproblemer og spørgsmål om, hvorvidt data om sundhedspersoner er håndteret og beskyttet korrekt.
Sagen kommer på et tidspunkt, hvor markedet i forvejen er følsomt over for alt, der kan ramme Novos omdømme og compliance.
Det oplyser Berlingske.
Derfor er lægelister ekstra følsomme
Ifølge Berlingske stammer materialet fra en hackergruppe, som hævder at have stjålet “ikkeoffentliggjorte data og personoplysninger” fra Novo Nordisk.
I de lækkede dokumenter fremgår et omfattende kartotek, hvor læger tilsyneladende er rangeret i forhold til, hvor meget de udskriver selskabets præparater.
Selv om der ikke nødvendigvis er tale om patientdata, kan oplysninger om læger stadig være personoplysninger, hvis de kan knyttes til identificerbare personer.
Og når data samtidig beskriver professionel adfærd og relationen til en medicinalvirksomhed, bliver det hurtigt et compliance-emne.
Konsekvensen er, at Novo ikke kun skal håndtere et klassisk cyberangreb, men også den forretningsmæssige fallout: Hvordan bruges oplysningerne internt, hvem har haft adgang, og kan det opleves som en form for “scoring” af læger.
GDPR-krav kan presse tidslinjen
Når et brud vurderes at indebære risiko for fysiske personers rettigheder, skal det som udgangspunkt anmeldes til tilsynsmyndigheden “senest 72 timer” efter, at virksomheden er blevet bekendt med bruddet.
Det følger af GDPR artikel 33.
Sanktionsniveauet i de mest alvorlige tilfælde kan nå op til 20 millioner euro eller 4 procent af den globale årlige omsætning, alt efter hvad der er højest, jf.
Det er maksimumrammer, ikke en prognose for Novo i denne konkrete sag.
Det centrale for investorer er derfor ikke kun, om der kommer en bøde, men om sagen tvinger Novo til at ændre processer, dokumentation og governance omkring kontakt til sundhedspersoner.
Det markedet vil holde øje med
De næste signaler bliver, om Novo bekræfter omfanget af det kopierede materiale, og om Datatilsynet bliver involveret.
En anden nøgle er, om sagen får afledte effekter i samarbejdet med hospitaler og læger, hvis tilliden til, hvordan data håndteres, bliver udfordret.
På kort sigt kan usikkerheden give støj i aktien, fordi compliance-sager er svære at prissætte.
På længere sigt handler det om, hvor hurtigt Novo kan lukke sårbarheder, begrænse intern adgang og vise, at styringen lever op til både GDPR og egne etiske standarder.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
