Regionstyrelsen Region Värmland – Beslut

Beslut efter tillsyn enligt dataskyddsförordningen mot Regionstyrelsen Region Värmland

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Regionstyrelsen Region Värmland (Regionstyrelsen) under okänd period före och under granskningen fram till den 31 oktober 2019 har behandlat personuppgifter i strid med artiklarna 5.1 a och 13 i 1 2 dataskyddsförordningen genom att inte informera vårdsökande som ringde 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 besvarades av vårdgivaren MedHelp AB.

IMY beslutar med stöd av 6 kap. 2 § dataskyddslagen3 och artikel 58.2 och 83 i dataskyddsförordningen att Regionstyrelsen ska betala en administrativ sanktionsavgift för överträdelserna av artiklarna 5.1 a och 13 i dataskyddsförordningen på 250 000 (tvåhundrafemtio tusen) kronor.

Bakgrund

Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

IMY inledde inledningsvis tillsyn mot Voice Integrate Nordic AB, Inera AB och MedHelp AB.

Det framkom att tre regioner anlitade MedHelp AB som vårdgivare på 1177 och Inera AB för att koppla fram samtalen till MedHelp AB. IMY inledde därför skriftlig tillsyn den 27 juni 2019 mot Regionstyrelsen för att kontrollera behandlingen av personuppgifter med anledning av att vårdsökande ringer 1177. Tillsyn inleddes samtidigt mot Hälsooch sjukvårdsnämnden Region Stockholm och Regionstyrelsen Region Sörmland.

Motivering av beslutet

Rättslig bakgrund

Nationella regler om hälso- och sjukvård

Hälso- och sjukvårdens uppdrag regleras i bland annat hälso- och sjukvårdslagen (2017:30), HSL.

Åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador definieras som hälso- och sjukvård, 2 kap. 1 § HSL. Med huvudman avses den region eller den kommun som enligt lagen ansvarar för att erbjuda hälso- och sjukvård till befolkningen i regionen eller kommunen. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet, 2 kap. 2 § HSL. Med vårdgivare avses statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet, 2 kap. 3 § HSL. Regioner och kommuner får med bibehållet huvudmannaskap sluta avtal med någon annan om att utföra de uppgifter som landstinget eller kommunen ansvarar för, 15 kap. 1 § HSL. Den som har ett författningsreglerat ansvar för att vård ges betecknas huvudman. Ansvaret innebär inte en skyldighet att själv bedriva verksamheten, utan driften kan ligga på någon annan som då betecknas vårdgivare (prop. 1981/82:97 s. 33 f.). Det offentliga ansvaret som huvudman innebär inte bestämmanderätt över vårdgivarens dagliga verksamhet och det fråntar inte heller vårdgivaren ansvaret som följer med rollen som vårdgivare (prop. 2016/17:43 s. 86).

Personuppgiftsansvar

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Personuppgiftsansvariga ska enligt artikel 5.2 ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

Grundläggande principer och rättslig grund

Personuppgifter ska enligt artikel 5.1 a i dataskyddsförordningen behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). Principen om uppgiftsminimering i artikel 5.1 c innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig

förpliktelse) eller 6.1.e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga. Enligt artikel 6.3 ska den grund för behandlingen som anges i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det innebär att om en vårdgivares behandling av personuppgifter är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse så krävs för att behandlingen ska vara laglig att den rättsliga förpliktelsen eller uppgiften av allmänt intresse regleras i nationell rätt (eller i unionsrätten).

Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

Registrerades rätt till information

Personuppgiftsansvarigas skyldighet att självmant tillhandahålla registrerade information om behandlingen av personuppgifterna framgår av artiklarna 13 och 14 i dataskyddsförordningen. Det är förhållandevis omfattande upplysningar som ska lämnas till de registrerade.

Samtal till 1177

Region Värmland uppger bland annat följande. Regionen ansvarar som huvudman enligt 2 kap. 2 § HSL för sjukvårdsrådgivning via numret 1177. Det är alltså regionen som ansvarar för att erbjuda invånarna hälso- och sjukvård. MedHelp är vårdgivare enligt 2 kap. 3 § HSL. Det är alltså MedHelp som bedriver hälso- och sjukvårdsverksamheten. Uppgifter om inringande persons telefonnummer och kommun-id samlas in från den inringande personens teleoperatör. Ändamålet med behandlingen är att kunna koppla inringaren till rätt sjukvårdshuvudman. Behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse, artikel 6.1 e dataskyddsförordningen. Känsliga personuppgifter behandlas inte. Det är Regionstyrelsen i Region Värmland som är personuppgiftsansvarig för behandlingen av personuppgifterna. Behandlingen utförs av Inera AB som personuppgiftsbiträde. Ineras behandling avser enbart inringande telefonnummer och kommun-id. Regionen bedriver sedan den 1 november 2019 sjukvårdsrådgivning per telefon i egen regi och har inte längre har något avtal med MedHelp.

IMY:s bedömning

Regionstyrelsen kunde med bibehållet huvudmannaskap enligt 15 kap. 1 § HSL sluta avtal med MedHelp om att utföra de uppgifter som regionen ansvarar för enligt HSL. IMY konstaterar att det inte har framkommit någon omständighet som motsäger Regionstyrelsens uppgift att styrelsen var personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen.

IMY bedömer att Regionstyrelsens behandling av personuppgifter om kommun-id och telefonnummer var adekvat, relevant och inte för omfattande i förhållande till ändamålet att tillse att samtal till 1177 togs om hand av MedHelp AB. Behandlingen bedöms därför ha varit förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

Regionstyrelsen har en uppgift som är fastställd i nationell rätt genom HSL. Grunden för behandlingen är fastställd i enlighet artikel 6.3 i dataskyddsförordningen. IMY bedömer att Regionstyrelsens behandling av kommun-id och telefonnummer var en

nödvändig behandling av personuppgifter för att styrelsen skulle fullgöra en uppgift av allmänt intresse och att det fanns rättsligt stöd för behandlingen enligt artikel 6.1 e.

Regionens information till vårdsökande

I dataskyddsförordningen finns långtgående skyldigheter att lämna information till registrerade. Den personuppgiftsansvarige har ansvaret för att informationen tillhandahålls.

Regionstyrelsen uppger bland annat följande.

Regionstyrelsen medger att klar och tydlig information om behandling av telefonnummer och kommun-id inte tillhandahålls och anser därför att ett tillägg kan göras på webbsidan 1177.se enligt en text som framgår av ett yttrande den 25 november 2020.

IMY:s bedömning

IMY har den 25 juni 2019 tagit del av en utskrift från www.1177.se om 1177 sjukvårdsrådgivning på telefon, som delgetts i ärendet. På webbsidan framgår att bakom 1177 Vårdguiden står den svenska sjukvården genom alla regioner i samverkan. 1177 är ett nationellt telefonnummer för sjukvårdsrådgivning som man kan ringa dygnet runt. Varje region driver sin egen verksamhet för sjukvårdsrådgivning antingen i egen regi eller genom upphandlad underleverantör. De samtal som är rådgivningssamtal journalförs. Frågan ”Vem är ansvarig för att personuppgifterna hanteras rätt?” besvaras enligt följande. ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt. När vården ges av en region är det en eller flera styrelser i regionen som är ytterst ansvariga. Inom den privata vården är det företaget eller den verksamhet som bedriver vården som är ansvariga."

Informationsskyldigheten är omfattande och en grundläggande förutsättning för att enskilda ska kunna ha kunskap om och kontroll över hur deras personuppgifter behandlas. Krav på öppenhet är en grundläggande princip enligt artikel 5.1 a i dataskyddsförordningen. Av skäl 60 i dataskyddsförordningen framgår att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

Den personuppgiftsansvarige ska enligt artikel 12.1 i dataskyddsförordningen vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information enligt artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. I artikel 13 anges den information som den personuppgiftsansvarige ska tillhandahålla om personuppgifterna samlas in från den registrerade.

Information ska lämnas om bland annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med den behandling för vilken personuppgifterna är avsedda, den rättsliga grunden för behandlingen och att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. I förekommande fall ska information ges om kontaktuppgifter för dataskyddsombudet.

Regionstyrelsen samlade in vårdsökandenas telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 kunde tas om hand av vårdgivaren MedHelp AB. Från och med den 1 november 2019 har Regionstyrelsen övergått till att bedriva vården i egen regi vid samtal till 1177-numret.

IMY konstaterar att det enligt artikel 13 i dataskyddsförordningen ställs omfattande krav på information till registrerade som Regionstyrelsen inte har lämnat. Det är inte tillräckligt att styrelsen på webbplatsen 1177.se upplyser om att ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt.”

Exempelvis saknades information om att Regionstyrelsen är personuppgiftsansvarig, om styrelsens kontaktuppgifter, om ändamålet med behandlingen, om den rättsliga grunden för behandlingen samt om att det förelåg en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. Det saknades även kontaktuppgifter för dataskyddsombudet.

Genom att Regionstyrelsen inte har lämnat nödvändig information till vårdsökande i samband med insamlingen av telefonnummer och kommun-id vid vårdsökandes telefonsamtal, som kopplades till MedHelp AB, konstaterar IMY att Regionstyrelsen har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen. Folkmängden i Värmlands län var 282 885 kvartal 4 2020. Bristen på information kunde således drabba många vårdsökande.

Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Avsaknaden av information enligt artikel 13 bedöms ha avsevärt begränsat vårdsökandes förutsättningar att ta tillvara sina rättigheter. IMY gör därför bedömningen att det även är fråga om en överträdelse av öppenhetsprincipen i artikel 5.1 a.

Val av ingripande

Möjliga ingripandeåtgärder beträffande information till vårdsökande

IMY har ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen, bland annat kan IMY förelägga den personuppgiftsansvariga att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

Enligt artiklarna 58.2 och 83.2 i dataskyddsförordningen har IMY befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2.

Vidare framgår av artikel 83.2 dataskyddsförordningen vilka faktorer som ska beaktas vid beslut om att administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Medlemsstaterna får enligt artikel 83.7 fastställa regler för om och i vilken utsträckning offentliga myndigheter och organ ska kunna påföras administrativa sanktionsavgifter. Av 6 kap. 2 § dataskyddslagen framgår att tillsynsmyndigheten får ta ut en sanktionsavgift av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 tillämpas.

Sanktionsavgift ska påföras

IMY har ovan bedömt att Regionstyrelsen har överträtt artiklarna 5.1 a och 13 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.5 och vid en överträdelse av dessa ska tillsynsmyndigheten överväga att påföra administrativ sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder.

Mot bakgrund av att den konstaterade överträdelsen rörande brist informationen har rört ett stort antal vårdsökande, vilket har begränsat vårdsökandes möjligheter att ta tillvara sina rättigheter, är det inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand. Regionstyrelsen ska således påföras administrativa sanktionsavgifter.

Fastställande av sanktionsavgiftens storlek

Generella bestämmelser

Enligt artikel 83.1 dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 anges de faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek gällande överträdelsen. Vid bedömningen av storleken på sanktionsavgiften ska hänsyn tas till bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om det varit frågan om uppsåt eller oaktsamhet, vilka åtgärder som vidtagits för att lindra den skada som de registrerade har lidit, graden av ansvar med beaktande av de tekniska och organisatoriska åtgärder som genomförts i enlighet med artiklarna 25 och 32, hur tillsynsobjektet har samarbetat med tillsynsmyndigheten, vilka kategorier av personuppgifter som berörs, hur överträdelsen kom till IMY:s kännedom och om det finns andra försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst av förfarandet.

För myndigheter gäller enligt 6 kap. 2 § andra stycket dataskyddslagen att sanktionsavgifterna ska bestämmas till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6. Överträdelser av artiklarna 5 och 13 omfattas av den högre sanktionsavgiften enligt artikel 83.5.

Bedömning av förmildrande och försvårande omständigheter

Alla som är sjuka har rätt till vård dygnet runt. Vårdsökande hänvisas i stor utsträckning att ringa till 1177 som kontaktväg för att erhålla vård, utan att andra kontaktvägar framhålls.

Som har konstaterats är det ungefär 283 000 invånare i Värmlands län. Bristen på information kan således drabba ett stort antal vårdsökande som ringer till 1177. Bestämmelserna om information innebär att Regionstyrelsen ska göra vårdsökande personer medvetna om personuppgiftsbehandlingen och vårdsökandenas rättigheter i samband med Regionstyrelsens behandling av personuppgifter.

Det är försvårande att bristen på information var omfattande, varaktig och rörde ett stort antal vårdsökande som kunde kontakta 1177 utan att dessa fick information om bland annat Regionstyrelsens och dataskyddsombudets kontaktuppgifter. Avsaknaden av sådan kontaktinformation begränsar vårdsökandens möjligheter att utöva sina rättigheter. Det är även försvårande att information inte lämnades om att insamling av uppgifter skedde för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB.

För att sanktionsavgifter ska vara effektiva, avskräckande och proportionerliga måste en sammanvägd bedömning göras i varje enskilt fall. Vad gäller sanktionsavgiftens storlek finner IMY utifrån en samlad bedömning, att Regionstyrelsen ska betala en administrativ sanktionsavgift på 250 000 (tvåhundrafemtio tusen) kronor för den konstaterade bristen i information till vårdsökande.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Suzanne Isberg. I handläggningen har enhetschefen Katarina Tullstedt och juristen Mattias Sandström medverkat. Vid den slutliga handläggningen har även it-säkerhetsspecialisten Magnus Bergström, rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

Lena Lindgren Schelin, 2021-06-07 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

Kopia till

Dataskyddsombudet via e-post.

Bilaga

Bilaga – Information om betalning av sanktionsavgift.