Hälso- och sjukvårdsnämnden i Region Dalarna

IMY-2022-695 Beslut efter tillsyn enligt

dataskyddsförordningen – Hälso- och sjukvårdsnämnden i Region Dalarna

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Hälso- och sjukvårdsnämnden i Region Dalarna (nämnden) från den 6 maj 2021 till och med den 6 juli 2022 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen , genom att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig skyddsnivå i samband med utskick av fysiska kallelser till vissa vårdbesök inom Region Dalarna.

IMY beslutar med stöd av 6 kap. 2 § dataskyddslagen och artiklarna 58.2 och 83 i dataskyddsförordningen att nämnden ska betala en administrativ sanktionsavgift på 200 000 (tvåhundratusen) kronor.

Redogörelse för tillsynsärendet

IMY har inlett tillsyn mot nämnden med anledning av information som framkommit i ett klagomål från en person som den 6 maj 2021 mottog en kallelse via brev till vårdbesök inom Region Dalarna. Av klagomålet framgår att kallelsen låg i ett fönsterkuvert och att uppgifter om att det var en kallelse, klagandens namn och adress samt den vårdinrättning kallelsen avsåg var fullt synliga i kuvertets fönster. Syftet med IMY:s tillsyn är att utreda om nämndens behandling av personuppgifter i samband med användning av den aktuella typen av fönsterkuvert vid kallelser till vårdbesök uppfyller kraven på säkerhet i samband med behandlingen enligt artikel 32 i dataskyddsförordningen. Inom ramen för tillsynsärendet har IMY endast granskat nämndens utskick av kallelser gällande Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta.

Nämnden har i huvudsak uppgett följande. Nämnden är vårdgivare och personupp- giftsansvarig för den personuppgiftsbehandling som tillsynen avser. Kallelser från Region Dalarna skickas med hjälp av Postnord Strålfors AB:s (Strålfors) funktion eBREV. Kallelserna skickas säkert i digitalt format från Region Dalarnas journalsystem till Strålfors som maskinellt skriver ut, kuverterar och skickar kallelsen till adressaten.

Nämnden identifierade risken med att använda dubbla fönster när tjänsten upphandlades och köpte därför en tilläggstjänst som innebär att kuvert som endast innehåller ett fönster med mottagarens adress ska användas. På dessa kuvert står Region Dalarnas postadress tryckt där avsändaradressen vanligtvis placeras och namnet på den klinik/avdelning som skickat kallelsen framgår alltså inte. Nämndens uppfattning är att avsändarkliniken inte ska framgå av kuvertet.

I yttrande till IMY daterat den 28 april 2022 uppgav nämnden att den påbörjat en utredning tillsammans med Strålfors. I yttrande daterat 16 juni 2022 uppgav nämnden i huvudsak följande. Det är oklart när nämnden började skicka kallelser där patientens namn och den vårdinrättning som kallelsen avser framgår av kuvertets fönster. Utredningen visar att tilläggstjänsten där avsändaren är dold enbart gäller vid utskick om maximalt fem A4-ark. Om utskicket innehåller fler A4-ark måste ett större kuvert användas och då finns inga kundunika kuvert i det uppdrag som är tecknat gällande eBREV, i stället används standardkuvert med två fönster. I samma yttrande uppgav nämnden att utredningsarbetet för att se över flödet gällande utskick av kallelser via eBREV och risker kopplade till dessa som skulle kunna generera en personuppgiftsincident pågår. Parallellt med detta förs en diskussion med Strålfors om behovet av att omförhandla kunduppdraget för att säkerställa att rätt typ av kuvert, med dold avsändare, används för samtliga utskick.

I ett yttrande daterat den 16 juni 2022 uppgav nämnden att den behandling som är föremål för tillsynen inte hade upphört. I en komplettering som nämnden gav in till IMY den 6 juli 2022 angavs att nämnden, fram till dess att en överenskommelse uppnås med Strålfors, kommer att ändra i mallen för kallelser till besök vid de tre enheter (Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta) som identifierats skicka kallelser med bilagor som överstiger fem A4-ark. Nämnden har bifogat en bild som visar att kallelserna kommer att skickas i ett kuvert med två fönster, där Region Dalarnas postadress framgår av det ena fönstret och uppgifter om att det rör sig om ett besök via videolänk och patientens namn samt adress i det andra.

I yttrande daterat den 9 augusti 2022 har nämnden uppgett att tidigare svar har utgått från kallelser som skickats genom IT-systemet Take Care. Det rör sig om cirka 2 500 kallelser per år vilket motsvarar 0,5 procent av det totala antalet kallelser som skickats genom det aktuella systemet.

Motivering av beslutet

Tillämpliga bestämmelser

Dataskyddsförordningens tillämpningsområde

Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

I doktrinanges att eftersom dataskyddsförordningen omfattar delvis automatiserad behandling av personuppgifter, är förordningen tillämplig vid utlämnande på papper av personuppgifter som finns i dataformat. Vidare har justitiekanslern bedömt att

uttrycket ”helt eller delvis automatiserad behandling av personuppgifter” i den numera upphävda personuppgiftslagen (1998:204) omfattade utskick av handlingar via post när den bakomliggande behandlingen av personuppgifterna var automatiserad.

Personuppgifter definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person.

Behandling definieras i artikel 4.2 i dataskyddsförordningen som en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Personuppgiftsansvar och principen om ansvarsskyldighet

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Enligt 2 kap. 6 § patientdatalagen (2008:355), PDL, är en vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region eller en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Den personuppgiftsansvarige ska enligt artikel 5.2 i dataskyddsförordningen ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i dataskyddsförordningen.

Uppgifter om hälsa

Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i förordningen.

I skäl 35 till dataskyddsförordningen anges följande. Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som insamlats i samband med registrering för eller tillhandahållande av hälso- och sjukvårdstjänster till den fysiska personen enligt Europaparlamentets och rådets direktiv 2011/24/EU, ett nummer, en symbol eller ett kännetecken som den fysiska personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempelvis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test.

EU-domstolen har i målet Lindqvist (C-101/01, EU:C:2003:596, punkt 51) slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personuppgift som rör hälsa enligt dataskyddsdirektivet (direktivet upphävdes genom dataskyddsförordningen). EU-domstolen uttalade i målet att med hänsyn till syftet med dataskyddsdirektivet ska uttrycket "uppgifter som rör hälsa" ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska sådana (se punkt 50). EU-domstolen har vidare i ett senare avgörande Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601) konstaterat att begreppet känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen ska tolkas brett och bedömt att även personuppgifter som indirekt avslöjar en fysisk persons sexuella läggning utgör känsliga personuppgifter enligt den aktuella bestämmelsen.

Europeiska dataskyddsstyrelsen (EDPB) har uttalat att begreppet uppgifter om hälsa enligt dataskyddsförordningen måste tolkas brett mot bakgrund av bland annat EUdomstolens dom i målet Lindqvist och då det framgår av skäl 53 till dataskyddsförordningen att uppgifter om hälsa förtjänar ett omfattande skydd . IMY har i ett rättsligt ställningstagande bedömt att uppgifter om förvaltarskap enligt föräldrabalken är uppgifter om hälsa (IMYRS 2022:3).

Kravet på säkerhet vid behandling av personuppgifter

Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken fastställt huruvida uppgiftsbehandlingen inbegriper en risk eller hög risk.

Om den personuppgiftsansvarige anlitar ett personuppgiftsbiträde för att genomföra en behandling ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder. Det ska ske på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen och att den registrerades rättigheter skyddas. Det framgår av artikel 28.1 och skäl 81 i dataskyddsförordningen.

Integritetsskyddsmyndighetens bedömning

Utredningen i ärendet visar att nämnden under perioden den 6 maj 2021 till och med den 6 juli 2022 har använt sig av en tjänst för utskick av fysiska brev som inneburit att vissa kallelser till vårdbesök har skickats ut i fönsterkuvert där uppgifter om att det är en kallelse, patientens namn och adress samt den vårdinrättning som besöket avser varit fullt synliga.

Dataskyddsförordningen är tillämplig

Den information i kallelserna som varit synlig genom fönsterkuverten avser identifierade personer. Det är således fråga om personuppgifter. Nämndens behandling av personuppgifterna består av en serie av åtgärder där nämndens utlämnande av personuppgifter med fysisk post varit en del. Den bakomliggande delen av processen, som bland annat innebär att kallelser skickas i digitalt format från Region Dalarnas journalsystem, är automatiserad. IMY bedömer därför att det är fråga om en delvis automatiserad behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde.

Personuppgiftsansvar

Nämnden har uppgett att den är personuppgiftsansvarig vårdgivare för den behandling av personuppgifter vid kallelser till vårdbesök inom Region Dalarna som är föremål för tillsyn, vilket stöds av den övriga utredningen i ärendet. IMY bedömer därför att nämnden är personuppgiftsansvarig för den aktuella behandlingen.

Behandlingen har inneburit en hög risk

Som personuppgiftsansvarig ska nämnden, enligt artikel 32.1 i dataskyddsförordningen, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna vid behandling av personuppgifter. Det gäller även när personuppgifter behandlas av ett personuppgiftsbiträde. IMY gör följande bedömning av riskerna med den aktuella behandlingen.

Enligt uppgift från nämnden har kallelser som visat avsändande mottagning skickats från Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta. Utredningen i ärendet visar att mottagningarna erbjuder vård för barn och unga i åldern 0–17 år med sjukdomar och ohälsa som kräver mer specialistkunskap och resurser än vad som normalt finns på vårdcentral, hjälp för barn och unga upp till 17 år med lindrig till måttlig psykisk ohälsa respektive utredning och behandling av olika sömnbesvär.

IMY konstaterar att begreppet hälsa ska tolkas brett och bedömer att den vård som ges vid vårdinrättningarna i fråga är så pass specifik att en kallelse till besök på någon av dessa mottagningar får anses ge information om den enskildes fysiska eller psykiska hälsotillstånd.

IMY bedömer mot den bakgrunden att uppgifterna gällande dessa vårdinrättningar, som varit fullt synliga vid utskicken, utgör uppgifter om hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen. Uppgifterna är därmed s.k. känsliga personuppgifter som omfattas av skyddet enligt artikel 9.1 i förordningen.

Uppgifterna skyddas dessutom inom hälso- och sjukvården av sekretess enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400). Eftersom två av de berörda vårdinrättningarna enbart bedriver vård för personer som är 17 år eller yngre kan vidare konstateras att uppgifterna i vissa fall även har avsett barn, som anses särskilt skyddsvärda enligt dataskyddsförordningen . Det rör sig därtill om en omfattande behandling som omfattar cirka 2 500 utskick från flera olika vårdinrättningar.

Mot denna bakgrund bedömer IMY att det rör sig om en behandling som inneburit en hög risk och att det därför krävts ett starkt skydd.

Nämnden har inte vidtagit tillräckliga säkerhetsåtgärder

IMY konstaterar att utskicken med kallelser till besök vid Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta skett på ett sådant sätt att de känsliga personuppgifterna har varit fullt synliga för alla som kommit i kontakt med breven. Uppgifterna har varit tillgängliga för exempelvis den som arbetar med att hantera post, den som delar hushåll med mottagaren och den som tagit emot ett brev som levererats till fel adress.

För att uppnå en lämplig säkerhetsnivå borde utskicken, enligt IMY:s bedömning, ha skett på ett sådant sätt att de känsliga personuppgifterna inte var synliga. Nämnden har således inte förmått att säkerställa den säkerhetsnivå som krävs enligt artikel 32.1 i dataskyddsförordningen.

Det kan konstateras att nämndens uppfattning visserligen är att det inte ska framgå av kuvertet vilken mottagning som en kallelse till vårdbesök avser och att nämnden därför upphandlat en tjänst i syfte att dölja avsändande mottagning. Efter att IMY inlett tillsyn genomförde nämnden dock en utredning som visade att den aktuella tjänsten endast omfattade kallelser om maximalt fem A4-ark och att övriga kallelser skickats i kuvert som visat vilken klinik som besöket avsåg. IMY konstaterar att det har ankommit på nämnden som personuppgiftsansvarig att inför behandlingen i fråga säkerställa att den aktuella tilläggstjänsten uppfyllde behovet av att hålla uppgifterna dolda från andra än mottagaren av brevet.

Mot denna bakgrund bedömer IMY att nämnden inte har vidtagit tillräckliga åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med den aktuella behandlingen. Nämnden har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

Val av ingripande

Tillämpliga bestämmelser

Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter.

Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Enligt 6 kap. 2 § dataskyddslagen får IMY ta ut sanktionsavgifter av myndigheter vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen och att artikel 83.1, 83.2 och 83.3 i förordningen då ska tillämpas.

I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till dataskyddsförordningen utfärda en reprimand istället för att påföra en sanktionsavgift.

De faktorer som anges i artikel 83.2 i dataskyddsförordningen ska beaktas även vid bestämmandet av sanktionsavgiftens storlek. Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det framgår av artikel 83.1 i dataskyddsförordningen.

Sanktionsavgift ska påföras

IMY har kommit fram till att nämnden har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. IMY finner vid en samlad bedömning av de omständigheter som beskrivs under rubriken Sanktionsavgiftens storlek att det finns skäl att påföra nämnden en sanktionsavgift och att det därmed inte är fråga om en sådan mindre överträdelse att det finns skäl att i stället utfärda en reprimand.

Sanktionsavgiftens storlek

För överträdelser av bland annat artikel 32 i dataskyddsförordningen får sanktionsavgiften för offentliga myndigheter uppgå till högst 5 000 000 kronor. Det framgår av 6 kap. 2 § dataskyddslagen samt artikel 83.4 i dataskyddsförordningen.

I bedömningen av överträdelsens allvarlighet beaktar IMY i enlighet med artikel 83.2 g i dataskyddsförordningen att behandlingen har omfattat känsliga personuppgifter om hälsa och uppgifter om barn, som är särskilt skyddsvärda enligt dataskyddsförordningen.

Vidare beaktar IMY vad som framkommit om överträdelsens karaktär, svårighetsgrad och varaktighet utifrån vad som anges i artikel 83.2 a i dataskyddsförordningen. Därvid kan konstateras att överträdelsen pågått under en längre tid om drygt ett år, från och med den 6 maj 2021, då den patient som lämnade in det klagomål som ligger till grund för tillsynen mottog sin kallelse, fram till och med den 6 juli 2022, när nämnden vidtog

åtgärder för att dölja avsändande mottagning på kuvertet vid utskicken. Mot bakgrund av att nämnden uppgett att det rör sig om cirka 2 500 kallelser per år kan även konstateras att överträdelsen berör ett stort antal registrerade. Vidare innebär det förhållandet att överträdelsen har förekommit inom vården – dvs. en verksamhet där den registrerade patienten befinner sig i en beroendeställning och utsatt position i förhållande till den personuppgiftsansvarige – att det finns skäl att se allvarligare på överträdelsen. IMY bedömer dock att det även finns faktorer som talar i motsatt riktning vid bedömningen av överträdelsens allvarlighetsgrad. För det första rör det sig om en fysisk hantering och inte en digital som skulle ha inneburit en risk för större och snabbare spridning av uppgifterna. En distribution genom ordinarie postgång är mer begränsad och kontrollerad än en överföring via det öppna nätet. Vidare har framkommit att nämnden identifierade risken med att exponera de aktuella personuppgifterna vid utskicken och därför vidtog vissa åtgärder i syfte att efterleva kraven och minska riskerna med behandlingen.

IMY bestämmer utifrån en samlad bedömning av omständigheterna i ärendet att Hälso- och sjukvårdsnämnden i Region Dalarna ska betala en administrativ sanktionsavgift på 200 000 kronor.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Maja Welander. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren, den tillförordnade enhetschefen Linn Sandmark och itoch informationssäkerhetsspecialisten Magnus Bergström medverkat.

Lena Lindgren Schelin, 2023-01-17 (Det här är en elektronisk signatur)

Kopia till

Nämndens dataskyddsombud Klaganden

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.