Inera AB – Beslut

DI-2019-2900 Beslut efter tillsyn enligt

dataskyddsförordningen mot Inera AB

Integritetsskyddsmyndighetens beslut

Ärendet avslutas.

Bakgrund

Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

Det framgick av Ineras webbplats att Inera AB förvaltar och utvecklar de gemensamma systemen för 1177 Vårdguiden på telefon som regionerna behöver i sin verksamhet. IMY inledde skriftlig tillsyn mot Inera AB den 5 mars 2019 för att kontrollera hur Inera behandlade personuppgifter om vårdsökande inom ramen för rådgivningsnumret 1177.

IMY inledde även tillsyn mot Voice Integrate Nordic AB och MedHelp AB. Det framkom att tre regioner anlitade dels MedHelp som vårdgivare när vårdsökande ringer 1177 för sjukvårdsrådgivning och dels Inera AB för att koppla fram samtalen till MedHelp. IMY inledde därför tillsyn mot Hälso- och sjukvårdsnämnden Region Stockholm, Regionstyrelsen Region Sörmland och Regionstyrelsen Region Värmland.

Motivering av beslutet

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Med personuppgiftsbiträde avses, enligt artikel 4.8 i

förordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Enligt artikel 32 har både den som är personuppgiftsansvarig och personuppgiftsbiträdet skyldigheter som avser säkerheten i samband med behandlingen av personuppgifterna.

Inera uppger bland annat följande. I egenskap av personuppgiftsbiträde för regionerna Stockholm, Sörmland och Värmland behandlar Inera telefonnummer för personer som ringer till 1177. Samtliga 1177-samtal styrs initialt till Ineras kontaktcenter där det görs en kontroll om kommun-ID är lika med Stockholm, Sörmland eller Värmland. Är så fallet skapas ett utgående samtal från Ineras kontaktcenter till MedHelp AB:s kontaktcenter varpå MedHelp AB tar över samtalet. Samtalet lämnar då Ineras system helt. Inera lagrar inga av MedHelps inspelade samtal och har inga avtal med MedHelp.

IMY konstaterar att Inera behandlar personuppgifter i samband med att vårdsökande ringer 1177. Denna behandling utför Inera på uppdrag av regionerna i egenskap av personuppgiftsbiträde. Inera har dock inte ansvar, vare sig som personuppgiftsansvarig eller personuppgiftsbiträde, för den personuppgiftsbehandling som MedHelp AB utför vid själva sjukvårdsrådgivningen eller för lagring av ljudfiler med inspelade samtal till 1177 när MedHelp AB är den vårdgivare som svarar på samtalen.

Ärendet avslutas därför utan åtgärd.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Suzanne Isberg. Vid handläggningen har enhetschefen Katarina Tullstedt medverkat. Vid den slutliga handläggningen har även itsäkerhetsspecialisten Magnus Bergström, rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

Lena Lindgren Schelin, 2021-06-07 (Det här är en elektronisk signatur)