text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 En behörig myndighet är enligt i 1 kap. 6 § BDL en myndighet som behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet.

text: Prop.2017/18:232 s. 438

text: Se Datainspektionens rapportserie om Anmälda personuppgiftsincidenter 2018 (Datainspektionens rapport 2019:1) s 7 f; Anmälda personuppgiftsincidenter januari-september 2019 (Datainspektionens rapport 2019:3) s.10 f. och Anmälda personuppgiftsincidenter 2019 (Datainspektionens rapport 2020:2) s. 12 f.

text: Prop. 2017/18:232 s. 453

text: Prop. 2017/18:232 s. 457

text: Prop. 2017/18:232 s. 189

text: f.

text: Prop. 2017/18:232 s. 198

text: 9 Ansvaret för överträdelser är strikt. Det krävs alltså varken uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut, se

text: prop. 2017/18:232 s. 481

text: Brottsdatalag – Delbetänkande av Utredningen om 2016 års dataskyddsdirektiv Stockholm 2017,

text: SOU 2017:29 s. 302

text: 11 Behöriga myndigheter ska se till att det finns rutiner för logguppföljning, se

text: prop. 2017/18:232 s. 455

text: f. 12 3 kap. 6 § BDL och kompletterande bestämmelser i 3 kap. 6 § BDF 13 Datoriserad utredningsrutin med tvångsmedelshantering 14 Centralt system för åklagarväsendets brottmålshantering

text: Rapport 2019:1, rapport 2019:3 och rapport 2020:2. Liknande slutsatser har MSB dragit i sin årsrapport för allvarliga IT-incidenter, dvs. att de flesta av incidenterna beror på mänskliga misstag, se https://www.msb.se/sv/aktuellt/nyheter/2020/april/arsrapporten-forallvarliga-it-incidenter-2019-ar-slappt/

titel: Ekobrottsmyndigheten

title: Sju brottskämpande myndigheter – Ekobrottsmyndigheten

text: Datainspektionens beslut

text: Datainspektionen meddelar följande rekommendationer med stöd av

text: 5 kap. 6 § brottsdatalagen (2018:1177)

text: 1. Ekobrottsmyndigheten bör regelbundet utvärdera effektiviteten hos de vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och vid behov revidera dessa för att upprätthålla tillräckligt skydd av personuppgifter.

text: 2. Ekobrottsmyndigheten bör regelbundet kontrollera att rutinerna för hantering av personuppgiftsincidenter följs.

text: 3. Ekobrottsmyndigheten bör regelbundet kontrollera att de interna rutinerna för dokumentation av personuppgiftsincidenter följs.

text: 4. Ekobrottsmyndigheten bör ge sina anställda löpande information och återkommande utbildning i hanteringen av personuppgiftsincidenter och om rapporteringsskyldigheten.

text: Datainspektionen avslutar ärendet.

text: Redogörelse för tillsynsärendet

text: Skyldigheten för den personuppgiftsansvarige – dvs. privata och offentliga aktörer – att anmäla vissa personuppgiftsincidenter till Datainspektionen infördes den 25 maj 2018 genom dataskyddsförordningen (GDPR). Motsvarande anmälningsskyldighet infördes den 1 augusti 2018 i

text: brottsdatalagen

text: (BDL) för s.k. behöriga myndigheter. Skyldigheten att anmäla personuppgiftsincidenter (nedan kallad incident) syftar till att stärka integritetsskyddet genom att Datainspektionen får information om händelsen och kan välja att vidta åtgärder när inspektionen bedömer att det behövs för att den personuppgiftsansvarige ska hantera incidenten på ett tillfredställande sätt och vidta åtgärder för att förhindra att något liknande inträffar igen.

text: En personuppgiftsincident är enligt 1 kap. 6 § BDL en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. I förarbetena till lagen anges att det som regel är fråga om en oplanerad händelse som påverkar säkerheten för personuppgifterna på ett negativt sätt och som medför allvarliga konsekvenser för skyddet av uppgifterna. En personuppgiftsincident kan till exempel vara att personuppgifter har skickats till fel mottagare, att tillgången till personuppgifterna har förlorats, att datautrustning som lagrar personuppgifter har tappats bort eller stulits, att någon inom eller utanför organisationen tar del av information som den saknar behörighet till.

text: En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan medföra risker för den registrerades rättigheter eller friheter. En incident kan leda till fysisk, materiell eller immateriell skada genom exempelvis

text: diskriminering, identitetsstöld, identitetsbedrägeri, skadat anseende, finansiell förlust samt brott mot sekretess eller tystnadsplikt.

text: Det kan finnas många orsaker till att en personuppgiftincident uppstår. Av Datainspektionens rapportserie Anmälda personuppgiftsincidenter under perioden maj 2018 - december 2019 framgår att de vanligaste orsakerna bakom de anmälda incidenterna var bl.a. den mänskliga faktorn, tekniska fel, antagonistiska angrepp samt brister i organisatoriska rutiner eller processer.

text: Datainspektionen har inlett detta tillsynsärende mot Ekobrottsmyndigheten i syfte att kontrollera om myndigheten har rutiner på plats för att upptäcka personuppgiftsincidenter och om myndigheten har och har haft rutiner för att hantera personuppgiftsincidenter enligt

text: brottsdatalagen

text: . I granskningen ingår även att kontrollera om Ekobrottsmyndigheten har rutiner för dokumentation av incidenter som svarar mot kraven i brottsdataförordningen (BDF) samt om myndigheten har genomfört informations- och utbildningsinsatser kring personuppgiftsincidenter.

text: Tillsynen inleddes med en skrivelse till Ekobrottsmyndigheten den 19 juni 2019 och följdes upp med begäran om komplettering den 28 januari 2020. Myndighetens svar på tillsynsskrivelsen kom in den 25 september 2019 och kompletteringen inkom den 18 februari 2020.

text: Tillämpliga bestämmelser

text: Den personuppgiftsansvarige ska enligt 3 kap. 2 § BDL, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Det innebär att behöriga myndigheter, med hjälp av dessa åtgärder, inte bara ska säkerställa att dataskyddsregelverket följs utan också ska kunna visa att så är fallet. Vilka tekniska och organisatoriska åtgärder som krävs för att skydda personuppgifterna regleras i 3 kap. 8 § BDL.

text: I förarbetena till lagen anges att organisatoriska åtgärder som avses i 2 § är bl.a. att ha interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av IT-system, behandlingar och vidtagna åtgärder och teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som ska vidtas får avgöras efter en bedömning i varje enskilt fall. Åtgärderna ska ses över och uppdateras vid behov. De åtgärder som den personuppgiftsansvarige ska vidta enligt denna bestämmelse ska enligt 3 kap. 1 § BDF vara rimliga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

text: Av 3 kap. 8 § BDL framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. I förarbetena till

text: brottsdatalagen

text: anges att säkerheten ska omfatta åtkomstskydd för utrustning, kontroll av datamedier, lagringskontroll, användarkontroll, åtkomstkontroll, kommunikationskontroll, indatakontroll, transportkontroll, återställande, driftsäkerhet och dataintegritet. Denna uppräkning är dock inte uttömmande. Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Rutiner för anmälan och uppföljning av personuppgiftsincidenter utgör också sådana åtgärder.

text: Vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå är reglerat i 3 kap. 11 § BDF. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna, kostnaderna för åtgärderna, behandlingens art, omfattning, sammanhang och ändamål, samt de särskilda riskerna med behandlingen. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskänsliga övriga personuppgifter som behandlas är. Överträdelse av bestämmelser i

text: 3 kap. 2 och 8 §§ BDL kan leda till sanktionsavgifter enligt 6 kap. 1 § 2 BDL.

text: Den personuppgiftsansvarige ska enligt 3 kap. 14 § BDF dokumentera alla personuppgiftsincidenter. Dokumentationen ska redovisa omständigheterna kring incidenten, dess effekter och de åtgärder som vidtagits med anledning av den. Den personuppgiftsansvarige ska dokumentera alla inträffade incidenter oavsett om den måste anmälas till Datainspektionen eller inte. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av den aktuella bestämmelsen. Underlåtenhet att dokumentera personuppgiftsincidenter kan föranleda sanktionsavgifter enligt 6 kap. 1 § BDL.

text: En personuppgiftsincident ska också, enligt 3 kap. 9 § BDL, anmälas till Datainspektionen senast 72 timmar efter det att den personuppgiftsansvarige fått kännedom om incidenten. En anmälan behöver inte göras om det är osannolikt att incidenten har medfört eller kommer att medföra någon risk för otillbörligt intrång i den registrerades personliga integritet. Av 3 kap. 10 § BDL framgår att den personuppgiftsansvarige i vissa fall ska informera den registrerade som berörs av incidenten. Underlåtenhet att anmäla en personuppgiftsincident till Datainspektionen kan leda till administrativa sanktionsavgifter enligt 6 kap. 1 § BDL.

text: Motivering av beslut

text: Datainspektionens granskning

text: Datainspektionen har i detta tillsynsärende att ta ställning till om Ekobrottsmyndigheten har rutiner för att upptäcka personuppgiftsincidenter enligt

text: brottsdatalagen

text: och om myndigheten har och har haft rutiner för att hantera incidenter sedan BDL trädde ikraft. Granskningen omfattar även frågan om efterlevnaden av kravet på dokumentation av incidenter i

text: 3 kap. 14 §

text: BDF. Därutöver ska Datainspektionen ta ställning till om Ekobrottsmyndigheten har genomfört informations- och utbildningsinsatser

text: för sina anställda med fokus på hantering av personuppgiftsincidenter enligt BDL.

text: Granskningen omfattar inte innehållet i rutinerna eller utbildningsinsatserna utan är fokuserad på att kontrollera att den granskande myndigheten har rutiner på plats och att den har genomfört utbildningsinsatser för medarbetarna avseende personuppgiftsincidenter. Granskningen omfattar dock om myndighetens rutiner innehåller anvisningar att dokumentera de uppgifter som krävs enligt brottsdataförordningen.

text: Rutiner för att upptäcka personuppgiftsincidenter

text: De personuppgifter som behöriga myndigheter hanterar inom ramen för sin brottsbekämpande och brottsutredande verksamhet är i stor utsträckning av känslig och integritetskänslig natur. Verksamhetens karaktär ställer höga krav på de brottsbekämpande myndigheternas förmåga att skydda de registrerades uppgifter genom nödvändiga skyddsåtgärder för att bl.a. förhindra att en incident uppstår.

text: Skyldigheten att rapportera personuppgiftsincidenter enligt 3 kap. 9 § BDL ska tolkas i ljuset av de generella kraven att vidta lämpliga tekniska och organisatoriska åtgärder, för att säkerställa lämplig säkerhet för personuppgifter, som föreskrivs i 3 kap. 2 och 8 §§. En förmåga att snabbt upptäcka och rapportera en incident är en nyckelfaktor. För att de brottsbekämpande myndigheterna ska kunna leva upp till rapporteringskravet måste de ha interna rutiner och tekniska möjligheter för att upptäcka en incident.

text: Utifrån verksamhetens behov och med stöd av risk- och sårbarhetsanalyser kan behöriga myndigheter identifiera de områden där det finns en större risk att en incident kan uppstå. Utifrån analyserna kan myndigheterna sedan använda olika instrument för att upptäcka ett säkerhetshot. Dessa kan vara både tekniska och organisatoriska åtgärder. Utgångspunkten är att de vidtagna säkerhetsåtgärderna ska ge tillräckligt skydd och att incidenter inte ska inträffa.

text: Exempel på tekniska åtgärder är bl.a. intrångsdetektorer som automatiskt analyserar och upptäcker dataintrång och användning av logganalysinstrument för att kunna detektera obehörig åtkomst (loggavvikelser). En ökad insikt om verksamhetens ”normala” nätverks

text: trafikmönster hjälper till att identifiera sådant som avviker från den normala trafikbilden gentemot exempelvis servrar, applikationer eller datafiler. Organisatoriska åtgärder kan exempelvis vara antagande av interna strategier för dataskydd som avser interna regler, riktlinjer, rutiner och olika typer av styrdokument och policydokument. Riktlinjer och regler för hantering av personuppgifter, rutiner för incidenthantering och logguppföljning utgör exempel på sådana strategier. Periodisk uppföljning av tilldelade behörigheter är ett annat exempel på organisatoriska åtgärder. I en behörig myndighet ska det finnas rutiner för tilldelning, förändring, borttagning och regelbunden kontroll av behörigheter. Information till och utbildning av personal om de regler och rutiner för incidenthantering som ska följas är också exempel på sådana åtgärder.

text: Datainspektionens bedömning

text: Ekobrottsmyndigheten har i huvudsak uppgett följande. Myndigheten behandlar personuppgifter i brottsbekämpande syfte främst i verksamhetssystem, programvaror och lagringsytor som tillhandahålls av Polismyndigheten och Åklagarmyndigheten. I Ekobrottsmyndighetens brottsutredande verksamhet används Polismyndighetens verksamhetsstöd Durtvå och i deras åklagarverksamhet används Åklagarmyndighetens verksamhetsstöd Cåbra. Detta innebär att dessa två myndigheter är personuppgiftsbiträden till Ekobrottsmyndigheten. Ekobrottsmyndigheten har i personuppgiftsbiträdesavtal med Åklagarmyndigheten säkerställt att rutiner för att upptäcka incidenter finns på plats. Det har vidare framkommit att biträdesavtalet med Polismyndigheten avseende IT-systemet Durtvå vid tidpunkten för Ekobrottsmyndighetens svar ännu inte var färdigställt.

text: Vidare har Ekobrottsmyndigheten angett att Åklagarmyndigheten regelbundet utför loggningar i sina system samt att Polismyndighetens IT-miljö kontinuerligt säkerhetsövervakas i syfte att förebygga, upptäcka och förhindra exempelvis it-attacker, driftstörningar och spridning av skadlig kod. Därigenom kan allvarligare personuppgiftsincidenter upptäckas. Om

text: det finns anledning till närmare utredning av användaraktiviteter kan loggutdrag användas. Beträffande Ekobrottsmyndighetens egen IT-infrastruktur uppges att den övervakas och loggas regelbundet bl.a. för att personuppgiftsincidenter ska kunna upptäckas. Därutöver har myndigheten en policy för hantering av säkerhetsloggar i IT-system vid Ekobrottsmyndigheten (EBM A-2012/0135). Angående organisatoriska åtgärder har Ekobrottsmyndigheten tagit fram rutiner för behörighetstilldelning gällande Åklagarmyndigheten, och behörigheter följs upp och rensas löpande. Ekobrottsmyndigheten har även genomfört utbildnings- och informationsinsatser om den nya dataskyddsregleringen för sin personal. I dessa har ingått information om personuppgiftsincidenter och om rapporteringsskyldighet. Syftet har varit att medvetandegöra personalen och i och med det öka benägenheten att anmäla incidenter.

text: Som framgår av utredningen är Polismyndigheten och Åklagarmyndigheten personuppgiftsbiträde till Ekobrottsmyndigheten avseende IT-systemen Durtvå respektive Cåbra. Datainspektionen vill understryka att det åligger Ekobrottsmyndigheten, i egenskap av personuppgiftsansvarige, att försäkra sig att personuppgiftsbiträdena vidtar lämpliga säkerhetsåtgärder för att skydda de personuppgifter som Ekobrottsmyndigheten ansvarar för.

text: Datainspektionen kan konstatera att Ekobrottsmyndigheten har rutiner för att upptäcka personuppgiftsincidenter på plats.

text: Skyldigheten att vidta säkerhetsåtgärder för att upptäcka personuppgiftsincidenter är inte knuten till en viss tidpunkt utan åtgärderna ska kontinuerligt ses över och vid behov förändras. För att Ekobrottsmyndigheten ska kunna upprätthålla tillräcklig skyddsnivå av personuppgifter över tid rekommenderar Datainspektionen, med stöd av 5 kap. 6 § BDL, att myndigheten regelbundet utvärderar effektiviteten hos de vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och att myndigheten vid behov uppdaterar dessa.

text: Rutiner för hantering av personuppgiftsincidenter

text: För att kunna leva upp till kraven på organisatoriska åtgärder i 3 kap. 8 § BDL ska den personuppgiftsansvarige ha dokumenterade interna rutiner som beskriver vilken process som ska följas när en incident har upptäckts eller inträffat, inbegripet hur incidenten ska begränsas, hanteras och återställas, samt hur riskbedömningen ska gå till och hur incidenten ska anmälas internt

text: och till Datainspektionen. Av rutinerna ska framgå bl.a. vad en personuppgiftsincident är/kan vara, när en incident behöver anmälas, och till vem, vad som ska dokumenteras, ansvarsfördelningen samt vilken information som bör tillhandahållas inom ramen för anmälan till Datainspektionen.

text: Datainspektionens kontroll av rutiner för att hantera personuppgiftsincidenter avser tiden från

text: brottsdatalagens

text: ikraftträdande dvs. den 1 augusti 2018.

text: Datainspektionens bedömning

text: Ekobrottsmyndigheten har bl.a. uppgett följande. Myndigheten har, sedan ett antal år tillbaka, dokumenterade rutiner för incidenthantering. Vidare har myndigheten uppgett att den under hösten 2018 identifierade ett behov av att tydliggöra vad som gäller för hantering av personuppgiftsincidenter, varför ett arbete med att ta fram riktlinjer för detta påbörjades. Arbetet slutfördes genom att myndigheten den 18 september 2019 beslutade om nya riktlinjer för hantering av personuppgiftsincidenter - EBMR-A 2019:3. Till riktlinjen hör även Rutin vid förlust av fysisk datamedia samt felskickad epost, steg för steg samt Rutin vid IT-incidenter som omfattar personuppgifter, steg för steg. Ekobrottsmyndigheten har även lämnat in dokumentation gällande myndighetens tidigare rutiner och om incidentrapporteringssystem (Key Concept), som visar att dessa också omfattade rapportering av personuppgiftsincidenter.

text: Med beaktande av de inlämnande handlingarna och vad som framkommit i ärendet konstaterar Datainspektionen att Ekobrottsmyndigheten från tidpunkten då

text: brottsdatalagen

text: trädde ikraft har haft och har rutiner för att hantera personuppgiftsincidenter på plats.

text: Att kunna hantera upptäckta personuppgiftsincidenter på ett korrekt sätt och motverka dess effekter och risker för de registrerades personliga integritet är viktigt. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Ekobrottsmyndigheten regelbundet kontrollerar att rutinerna för hantering av personuppgiftsincidenter följs.

text: Rutiner för dokumentation av personuppgiftsincidenter

text: En förutsättning för att Datainspektionen ska kunna kontrollera efterlevnaden av dokumentationskravet av incidenter i 3 kap. 14 § BDF är att

text: dokumentationen omfattar vissa uppgifter som alltid bör ingå. Dokumentationen ska omfatta alla detaljer kring incidenten, inbegripet dess orsaker, vad som skedde och de personuppgifter som berördes. Den ska även innehålla incidentens konsekvenser och de korrigerande åtgärder som den personuppgiftsansvarige vidtagit.

text: Datainspektionens bedömning

text: Ekobrottsmyndigheten har huvudsakligen uppgett följande. Myndigheten använder incidenthanteringssystemet Key Concept för intern rapportering av bl.a. personuppgiftsincidenter. Myndighetens dataskyddsombud är mottagare av de interna anmälningarna av incidenter i systemet och är den som avgör om incidenterna ska anmälas till Datainspektionen. En incident som anmäls till Datainspektionen diarieförs även i diarieföringssystemet Cårall. Ekobrottsmyndigheten har tagit fram en riktlinje för hantering av personuppgiftsincidenter samt ett frågeformulär för detta ändamål.

text: Datainspektionen konstaterar att Ekobrottsmyndigheten har ett IT-system för att bl.a. rapportera incidenter som rör personuppgifter. Därutöver framgår av myndighetens nya riktlinjer för hantering av personuppgiftsincidenter att alla incidenter ska dokumenteras samt vilka uppgifter som dokumentationen ska omfatta. Datainspektionen konstaterar att Ekobrottsmyndighetens rutiner för dokumentation svarar mot kraven i den aktuella bestämmelsen.

text: Datainspektionen noterar dock att myndigheten i sitt svarsyttrande framfört att det under 2018-2019 har identifierats 15 incidenter internt samt att dokumentationen av dessa i vissa fall har varit bristfällig. Detta kan enligt Datainspektionens mening tyda på att det finns en okunskap hos anställda om vad som ska dokumenteras. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Ekobrottsmyndigheten genomför regelbundna kontroller av den interna dokumentationen av personuppgiftsincidenter.

text: Personalen är en viktig resurs i säkerhetsarbetet. Det räcker inte bara med interna rutiner, regler eller styrdokument om användarna inte följer dem. Alla användare måste förstå att hantering av personuppgifter ska ske på ett rättssäkert sätt samt att det är allvarligare att inte rapportera en incident än

text: att rapportera t.ex. ett misstag eller ett fel. Det krävs därför att alla användare får en adekvat utbildning och tydlig information om dataskydd.

text: Datainspektionens bedömning

text: På frågan om på vilket sätt information och utbildning om incidenter ges till anställda har Ekobrottsmyndigheten uppgett bl.a. följande. Information och utbildning har getts i form av e-utbildning, information på intranät och informationsinsatser i samband med att den nya dataskyddsregleringen trädde ikraft. De nya riktlinjerna för hantering av personuppgiftsincidenter har implementerats och informationsinsatser om detta har genomförts. Rutiner och regler för hantering av e-post och för andra informationsbärare har tagits fram. Därutöver har myndigheten reviderat Riktlinjen Ekobrottsmyndighetens informationssäkerhet – policy och ansvar (EBMR-A 2015-3) för att tydliggöra varje medarbetarens ansvar för att rapportera brister och incidenter. I riktlinjen anges vilket ansvar medarbetare och befattningshavare har för myndighetens informationssäkerhet. Vidare har olika vägledande dokument som har bäring på hanteringen av personuppgiftsincidenter tagits fram, t.ex. Ekobrottsmyndighetens vägledning för säker hantering av information. Dessa finns publicerade på myndighetens intranät.

text: Mot bakgrund av vad som framgår av utredningen anser Datainspektionen att Ekobrottsmyndigheten har visat att myndigheten har gett information och utbildning om hantering av personuppgiftsincidenter till sina medarbetare.

text: För att upprätthålla kompetensen och säkerställa att ny personal får utbildning är det viktigt med återkommande information och utbildning till de anställda och inhyrd personal. Datainspektionen rekommenderar, med stöd av 5 kap. 6 § BDL, att Ekobrottsmyndigheten ger de anställda löpande information och återkommande utbildningar i hanteringen av personuppgiftsincidenter och skyldigheten att rapportera dessa.

text: Övrigt

text: Av utredningen i ärendet har det framkommit att det vid tidpunkten för Ekobrottsmyndighetens svar pågick en förhandling med Polismyndigheten i syfte att upprätta ett personuppgiftsbiträdesavtal avseende IT-systemet Durtvå. Förekomsten av ett sådant biträdesavtal omfattas inte av denna tillsyn och därför vidtar Datainspektionen inte någon åtgärd i detta avseende.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av Maria Angelica Westerberg. Vid den slutliga handläggningen av ärendet har även IT-säkerhetsspecialisten Ulrika Sundling och juristen Jonas Agnvall medverkat.

text: Kopia för kännedom till:

text: Ekobrottsmyndighetens dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 På webbplatsen 1177.se anges ”Ring telefonnummer 1177 för sjukvårdsrådgivning dygnet runt.”. 3 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: Folkmängd i riket, län och kommuner 31 december 2020 och befolkningsförändringar 1 oktober–31 december 2020. Totalt (scb.se)

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Hälso- och sjukvård

publisher: Integritetsskyddsmyndigheten

title: Hälso- och sjukvårdsnämnden Region Stockholm – Beslut

org: imy

sammanfattning: Förvaltningsrätten i Stockholm fastställde IMY:s beslut i dom 10 juni 2022, mål 20474-21.

text: Integritetsskyddsmyndighetens beslut

type: rubrik

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Hälso- och sjukvårdsnämnden Region Stockholm (Hälso- och sjukvårdsnämnden) under okänd period före och under granskningen har behandlat personuppgifter i strid med artiklarna 5.1 a samt 13 och 1 2 14 i dataskyddsförordningen genom att inte informera vårdsökande som ringer 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB samt om insamling av samtalsinformation från MedHelp AB för uppföljnings- och kvalitetsändamål.

type: stycke

text: IMY beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artikel 58.2 och 83 dataskyddsförordningen att Hälso- och sjukvårdsnämnden ska betala en administrativ sanktionsavgift för överträdelserna av artiklarna 5.1 a samt 13 och 14 i dataskyddsförordningen på 500 000 (femhundra tusen) kronor.

text: IMY förelägger enligt artikel 58.2 d i dataskyddsförordningen Hälso- och sjukvårdsnämnden att, snarast och senast två månader efter det att beslutet vunnit laga kraft, i enlighet med artiklarna 13 och 14 i dataskyddsförordningen informera vårdsökande som ringer 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB samt om insamling av samtalsinformation från MedHelp AB för uppföljnings- och kvalitetsändamål.

text: Bakgrund

text: Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

text: IMY inledde inledningsvis tillsyn mot Voice Integrate Nordic AB, Inera AB och MedHelp AB.

text: Det framkom att tre regioner anlitade MedHelp AB som vårdgivare på 1177 och Inera AB för att koppla fram samtalen till MedHelp AB. IMY inledde därför skriftlig tillsyn den 27 juni 2019 mot Hälso- och sjukvårdsnämnden för att kontrollera behandlingen av personuppgifter med anledning av att vårdsökande ringer 1177. Tillsyn inleddes samtidigt mot Regionstyrelsen Region Sörmland och Regionstyrelsen Region Värmland.

text: Motivering av beslutet

text: Rättslig bakgrund

text: Nationella regler om hälso- och sjukvård

text: Hälso- och sjukvårdens uppdrag regleras i bland annat hälso- och

text: sjukvårdslagen (2017:30)

text: , HSL.

text: Åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador definieras som hälso- och sjukvård,

text: 2 kap. 1 §

text: HSL. Med huvudman avses den region eller den kommun som enligt lagen ansvarar för att erbjuda hälso- och sjukvård till befolkningen i regionen eller kommunen. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet,

text: 2 kap. 2 §

text: HSL. Med vårdgivare avses statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet,

text: 2 kap. 3 §

text: HSL. Regioner och kommuner får med bibehållet huvudmannaskap sluta avtal med någon annan om att utföra de uppgifter som landstinget eller kommunen ansvarar för,

text: 15 kap. 1 §

text: HSL. Den som har ett författningsreglerat ansvar för att vård ges betecknas huvudman. Ansvaret innebär inte en skyldighet att själv bedriva verksamheten, utan driften kan ligga på någon annan som då betecknas vårdgivare (

text: prop. 1981/82:97 s. 33

text: f.). Det offentliga ansvaret som huvudman innebär inte bestämmanderätt över vårdgivarens dagliga verksamhet och det fråntar inte heller vårdgivaren ansvaret som följer med rollen som vårdgivare (

text: prop. 2016/17:43 s. 86

text: Personuppgiftsansvar

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Personuppgiftsansvariga ska enligt artikel 5.2 ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: Grundläggande principer och rättslig grund

text: Personuppgifter ska enligt artikel 5.1 a i dataskyddsförordningen behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). Principen om uppgiftsminimering i artikel 5.1 c innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig förpliktelse) eller 6.1.e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga. Enligt artikel 6.3 ska den grund för behandlingen som anges i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det innebär att om en vårdgivares behandling av personuppgifter är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse så krävs för att behandlingen ska vara laglig att

text: den rättsliga förpliktelsen eller uppgiften av allmänt intresse regleras i nationell rätt (eller i unionsrätten).

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

text: Registrerades rätt till information

text: Personuppgiftsansvarigas skyldighet att självmant tillhandahålla registrerade information om behandlingen av personuppgifterna framgår av artiklarna 13 och 14 i dataskyddsförordningen. Det är förhållandevis omfattande upplysningar som ska lämnas till de registrerade.

text: Samtal till 1177

text: Hälso- och sjukvårdsnämnden Region Stockholm uppger bland annat följande. Regionen är huvudman enligt

text: 2 kap. 2 §

text: HSL. Enligt regionfullmäktiges reglemente ska nämnden utöva ledningen över hälso- och sjukvården i regionen och ansvara för all hälso- och sjukvård som bedrivs eller finansieras av regionen. Uppgiften att bedriva hälso- och sjukvården har överlämnats till vårdgivaren MedHelp AB med stöd av

text: 15 kap. 1 § samma lag

text: . Regionen behandlar personuppgifter om kommun-id och telefonnummer för ändamålet att tillse att samtal till 1177 tas om hand av rätt vårdgivare. Uppgifterna samlas in från den inringande personens teleoperatör. Behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse. Hälso- och sjukvårdsnämnden är personuppgiftsansvarig. Behandlingen utförs av Inera AB i egenskap av personuppgiftsbiträde.

text: IMY:s bedömning

text: Hälso- och sjukvårdsnämnden får med bibehållet huvudmannaskap enligt

text: 15 kap. 1 §

text: HSL sluta avtal med MedHelp om att utföra de uppgifter som regionen ansvarar för enligt HSL. IMY konstaterar att det inte har framkommit någon omständighet som motsäger Hälso- och sjukvårdsnämndens uppgift att nämnden är personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen.

text: IMY bedömer att Hälso- och sjukvårdsnämndens behandling av personuppgifter om kommun-id och telefonnummer är adekvat, relevant och inte för omfattande i förhållande till ändamålet att tillse att samtal till 1177 tas om hand av MedHelp AB. Behandlingen bedöms därför vara förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Hälso- och sjukvårdsnämnden har en uppgift som är fastställd i nationell rätt genom HSL. Grunden för behandlingen är fastställd i enlighet artikel 6.3 i dataskyddsförordningen. IMY bedömer att Hälso- och sjukvårdsnämndens behandling av kommun-id och telefonnummer är en nödvändig behandling av personuppgifter för att nämnden ska fullgöra en uppgift av allmänt intresse och att det finns rättsligt stöd för behandlingen enligt artikel 6.1 e.

text: Insamlingen av samtalsinformation från MedHelp AB för uppföljnings- och kvalitetsändamål

text: Hälso- och sjukvårdsnämnden uppger bland annat följande.

text: Hälso- och sjukvårdsnämnden samlar för uppföljnings- och kvalitetsändamål in personuppgifter från MedHelp AB om personer som har ringt 1177 från Stockholms län. Uppgifterna är bland andra personnummer, kontaktorsak (strukturerade koder t.ex. för feber, hosta osv.), hänvisning (egenvård, närakut, vårdcentral osv.), verksamhets-id för vårdenheten där patienten eventuellt fått en bokad tid, löpnummer på journalanteckning om journal upprättats och tidpunkt för samtal. Uppgifterna benämns nedan samtalsinformationen. Behandlingen sker för att utveckla sjukvårdsrådgivningens funktion i hälso- och sjukvårdssystemet. Hälso- och sjukvårdsnämnden följer kontaktorsaker, vart patienten har hänvisats och följsamheten till råden. Behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse. Den rättsliga grunden är fastställd i nationell rätt genom HSL och de uppgifter som hälso- och sjukvårdsnämnden ansvarar för genom beslut av regionfullmäktige. Behandlingen av personuppgifter har även stöd i

text: patientdatalagen (2008:355)

text: , PDL.

text: Regionen ansvarar för kvalitén i verksamheten även om utförandet genom avtal har överlämnats till en privat utförare i enlighet med

text: 15 kap. 1 §

text: HSL. Enligt

text: 10 kap. 8 § kommunallagen (2017:725)

text: ansvarar regionen för att kontrollera och följa upp verksamhet som överlämnats till privata utförare. Hälso- och sjukvårdsnämnden krypterar personnumret eller reservnumret, till en pseudonym/”ID-nummer” med envägskryptering hos nämndens it-driftsleverantör. Nämndens personal har inte befattning med eller åtkomst till personnummer eller andra direkt identifierande personuppgifter från MedHelp AB. Artikel 9.2 h i dataskyddsförordningen ger ett rättsligt stöd för att behandla känsliga personuppgifter.

text: När det gäller kravet på tystnadsplikt i artikel 9.3 omfattas personuppgifterna hos regionen enligt nämnden av stark sekretess enligt

text: 25 kap. 1 §

text: OSL när personal inom ramen för nämndens lednings- och styrningsfunktion samt dess beställarverksamhet som har befattning med patientuppgifter från hälso- och sjukvården. Den tekniska personalen hos leverantören har inte någon befattning med personuppgifterna i läsbar form, förutom i mycket sällsynta undantagsfall då det bedöms oundgängligen nödvändigt i samband med till exempel felrättning. Från och med den 1 januari 2021 är it-driftsleverantörens personal underkastad en lagstadgad tystnadsplikt enligt lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter (

text: IMY:s bedömning

text: IMY konstaterar inledningsvis att Hälso- och sjukvårdsnämnden har överlämnat uppgiften att bedriva hälso- och sjukvård gällande sjukvårdsrådgivning via telefonnumret 1177 till vårdgivaren MedHelp AB och att nämnden därför inte bedriver individinriktad vård som medför behandling av personuppgifter för ändamål som anges i 2 kap. 4 § PDL i verksamhet hos nämnden. Hälso- och sjukvårdsnämnden utgör därmed i förevarande granskning inte en personuppgiftsansvarig vårdgivare enligt den nationella preciseringen i 2 kap. 6 § PDL av personuppgiftsansvaret. Det har inte heller framkommit att Hälso- och sjukvårdsnämnden är personuppgiftsansvarig för central behandling av personuppgifter i ett nationellt eller regionalt kvalitetsregister enligt 7 kap. 7 § PDL.

text: När det gäller personuppgiftsansvar har IMY funnit ovan att Hälso- och sjukvårdsnämnden är personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen och det finns inte skäl att här göra en annan bedömning.

text: Hälso-och sjukvårdsnämnden samlar in och pseudonymiserar samtalsinformationen från MedHelp AB om personer som ringt 1177 för sjukvårdsrådgivning. Nämnden

text: uppger att personalen vid nämnden inte har befattning med eller åtkomst till personnummer eller andra direkt identifierande personuppgifter från MedHelp AB. IMY bedömer att den behandlingen av personuppgifter är adekvat, relevant och inte för omfattande i förhållande till uppföljnings- och kvalitetsändamålet. Behandlingen bedöms därför vara förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Av

text: 10 kap. 8 § kommunallagen

text: framgår att när skötseln av en kommunal angelägenhet genom avtal har lämnats över till en privat utförare, ska kommunen eller regionen kontrollera och följa upp verksamheten. Uppgiften som Hälso- och sjukvårdsnämnden har för att kontrollera och följa upp den verksamhet som MedHelp AB utför är enligt IMY:s bedömning en uppgift av allmänt intresse enligt art. 6.1 e i dataskyddsförordningen. Uppgiften är fastställd i

text: 10 kap. 8 § kommunallagen

text: på det sätt som krävs enligt art. 6.3 i dataskyddsförordningen. IMY bedömer att Hälso- och sjukvårdsnämndens behandling av samtalsinformationen genom insamling från MedHelp AB och pseudonymisering är nödvändig för att nämnden ska kunna fullgöra den nämnda uppgiften. Behandlingen får därför utföras med stöd av artikel 6.1 e i dataskyddsförordningen.

text: Personuppgifterna som Hälso- och sjukvårdsnämnden samlar in från MedHelp och pseudonymiserar utgör personuppgifter om hälsa enligt artikel 4.15 i dataskyddsförordningen. Uppgifter om hälsa utgör känsliga personuppgifter. Det råder som huvudregel ett förbud mot att behandla känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen. Enligt artikel 9.2 h i dataskyddsförordningen får känsliga personuppgifter behandlas trots förbudet i artikel 9.1 om behandlingen är nödvändig av skäl som hör samman med exempelvis förebyggande hälso- och sjukvård, tillhandahållande av hälso- och sjukvård, förvaltning av hälso- och sjukvårdstjänster, på grundval av unionsrätten eller medlemsstaternas nationella rätt. HSL och

text: kommunallagen

text: är exempel på nationell rätt som avses i artikel 9.2 h.

text: Hälso- och sjukvårdsnämnden ansvarar enligt

text: 10 kap. 8 § kommunallagen

text: för kvalitén i verksamheten även om utförandet av vården genom avtal har överlämnats till MedHelp AB i enlighet med

text: 15 kap. 1 §

text: HSL. IMY bedömer att Hälso- och sjukvårdsnämndens behandling av känsliga personuppgifter genom insamling av samtalsinformation från MedHelp och pseudonymisering är nödvändig på det sätt som avses i artikel 9.2 h i dataskyddsförordningen. Bestämmelsen i

text: 25 kap. 1 §

text: OSL om tystnadsplikt för personer verksamma inom hälso- och sjukvården utgör en lagreglerad tystnadsplikt som uppfyller kravet i artikel 9.3 att personuppgifterna behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt, som är en förutsättning för att behandling av känsliga personuppgifter på hälso- och sjukvårdsområdet ska vara tillåten med stöd av artikel 9.2 h i dataskyddsförordningen.

text: HSL:s och

text: kommunallagens

text: bestämmelser om vårdgivare samt kontroll och uppföljning av privata utförare omfattar inte it-driftsleverantören. IMY:s tillsyn har inte omfattat förhållandet till it-driftsleverantören och IMY vidtar därför i det här ärendet inte några ytterligare utredningsåtgärder i fråga om samtal till 1177 och med vilket stöd i nationell rätt som it-driftsleverantören behandlar personuppgifter. IMY kan dock konstatera att sedan den 1 januari 2021 är it-driftsleverantörens personal underkastad en lagstadgad tystnadsplikt i enlighet med

text: 4 §

text: lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter, som enligt

text: 1 §

text: tillämpas när en myndighet uppdrar åt ett företag eller en annan enskild (tjänsteleverantör) att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Åtgärder

text: som en tjänsteleverantör vidtar enligt den nämnda lagen kan vara säkerhetshöjande åtgärder som exempelvis pseudonymisering (

text: prop. 2019/20:201 s. 22

text: Regionens information till vårdsökande

text: I dataskyddsförordningen finns långtgående skyldigheter att lämna information till registrerade. Den personuppgiftsansvarige har ansvaret för att informationen tillhandahålls.

text: Ingen specifik information lämnas riktat till individer som ringer till 1177 om vilken personuppgiftsbehandling som utförs i samband med koppling av samtalet till vårdgivaren MedHelp AB. Inte heller anges specifikt att viss del av behandlingen utförs av regionen i egenskap av sjukvårdshuvudman. Detta kan ses som en brist i transparens i förhållande till registrerade.

text: IMY:s bedömning

text: IMY har den 25 juni 2019 tagit del av en utskrift från www.1177.se om 1177 sjukvårdsrådgivning på telefon. På webbsidan framgår att bakom 1177 Vårdguiden står den svenska sjukvården genom alla regioner i samverkan. 1177 är ett nationellt telefonnummer för sjukvårdsrådgivning som man kan ringa dygnet runt. Varje region driver sin egen verksamhet för sjukvårdsrådgivning antingen i egen regi eller genom upphandlad underleverantör. De samtal som är rådgivningssamtal journalförs. Frågan ”Vem är ansvarig för att personuppgifterna hanteras rätt?” besvaras enligt följande. ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt. När vården ges av en region är det en eller flera styrelser i regionen som är ytterst ansvariga. Inom den privata vården är det företaget eller den verksamhet som bedriver vården som är ansvariga.”

text: Informationsskyldigheten är omfattande och en grundläggande förutsättning för att enskilda ska kunna ha kunskap om och kontroll över hur deras personuppgifter behandlas. Krav på öppenhet är en grundläggande princip enligt artikel 5.1 a i dataskyddsförordningen. Av skäl 60 i dataskyddsförordningen framgår att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

text: Den personuppgiftsansvarige ska enligt artikel 12.1 i dataskyddsförordningen vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information enligt artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. I artikel 13 anges den information som den personuppgiftsansvarige ska tillhandahålla om personuppgifterna samlas in från den registrerade. I artikel 14 anges den information som den personuppgiftsansvarige ska tillhandahålla om personuppgifterna har samlats in från någon annan källa än den registrerade.

text: Information ska lämnas om bland annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med den behandling för vilken personuppgifterna är avsedda, den rättsliga grunden för behandlingen och att det föreligger en rätt att av

text: den personuppgiftsansvarige begära tillgång till personuppgifter. I förekommande fall ska information ges om kontaktuppgifter för dataskyddsombudet.

text: Hälso- och sjukvårdsnämnden samlar in vårdsökandenas telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB. Från MedHelp AB samlar nämnden in samtalsinformation som pseudonymiseras för uppföljnings- och kvalitetsändamål. Hälso- och sjukvårdsnämnden medger brist på transparens i förhållande till registrerade.

text: IMY konstaterar att det enligt artiklarna 13 och 14 i dataskyddsförordningen ställs omfattande krav på information till registrerade som Hälso- och sjukvårdsnämnden inte lämnar. Det är inte tillräckligt att nämnden på webbplatsen 1177.se upplyser om att ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt.”

text: Exempelvis saknas information om att Hälso- och sjukvårdsnämnden är personuppgiftsansvarig, om nämndens kontaktuppgifter, om ändamålet med behandlingen, om den rättsliga grunden för behandlingen samt om att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. Det saknas även kontaktuppgifter för dataskyddsombudet.

text: Genom att Hälso- och sjukvårdsnämnden inte informerar vårdsökande i samband med insamlingen av telefonnummer och kommun-id vid vårdsökandes telefonsamtal till 1177 eller den senare insamlingen av samtalsinformation från MedHelp AB, konstaterar IMY att Hälso- och sjukvårdsnämnden har behandlat personuppgifter i strid med artiklarna 13 och 14 i dataskyddsförordningen om den information som ska lämnas självmant till registrerade. Folkmängden i Stockholms län var 2 391 990 kvartal 4 2020. Bristen på information kan således drabba ett mycket stort antal vårdsökande.

text: Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Avsaknaden av information enligt artiklarna 13 och 14 bedöms vara så omfattande och allvarlig att den avsevärt begränsar vårdsökandes förutsättningar att ta tillvara sina rättigheter. IMY gör därför bedömningen att det även är fråga om en överträdelse av öppenhetsprincipen i artikel 5.1 a.

text: Val av ingripande

text: Möjliga ingripandeåtgärder beträffande information till vårdsökande

text: IMY har ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen, bland annat kan IMY förelägga den personuppgiftsansvariga att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Enligt artiklarna 58.2 och 83.2 i dataskyddsförordningen har IMY befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2.

text: Vidare framgår av artikel 83.2 dataskyddsförordningen vilka faktorer som ska beaktas vid beslut om att administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Medlemsstaterna får enligt artikel 83.7 fastställa regler för om och i vilken utsträckning offentliga myndigheter och organ ska kunna påföras administrativa sanktionsavgifter. Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att tillsynsmyndigheten får ta ut en sanktionsavgift av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 tillämpas.

text: Sanktionsavgift ska påföras

text: IMY har ovan bedömt att Hälso- och sjukvårdsnämnden har överträtt artiklarna 5.1 a samt 13 och 14 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.5 och vid en överträdelse av dessa ska tillsynsmyndigheten överväga att påföra administrativ sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder.

text: Mot bakgrund av att de konstaterade överträdelserna rörande brister i information till vårdsökande har rört ett stort antal registrerade, vilket har begränsat vårdsökandes möjligheter att ta tillvara sina rättigheter, är det inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand. Hälso- och sjukvårdsnämnden ska således påföras administrativa sanktionsavgifter.

text: Fastställande av sanktionsavgiftens storlek

text: Generella bestämmelser

text: Enligt artikel 83.1 dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 anges de faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek gällande överträdelsen. Vid bedömningen av storleken på sanktionsavgiften ska hänsyn tas till bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om det varit frågan om uppsåt eller oaktsamhet, vilka åtgärder som vidtagits för att lindra den skada som de registrerade har lidit, graden av ansvar med beaktande av de tekniska och organisatoriska åtgärder som genomförts i enlighet med artiklarna 25 och 32, hur tillsynsobjektet har samarbetat med tillsynsmyndigheten, vilka kategorier av personuppgifter som berörs, hur överträdelsen kom till IMY:s kännedom och om det finns andra försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst av förfarandet.

text: För myndigheter gäller enligt

text: 6 kap. 2 § andra stycket dataskyddslagen

text: att sanktionsavgifterna ska bestämmas till högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i dataskyddsförordningen och till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6. Överträdelser av artiklarna 5, 13 och 14 omfattas av den högre sanktionsavgiften enligt artikel 83.5.

text: Bedömning av förmildrande och försvårande omständigheter

text: Alla som är sjuka har rätt till vård dygnet runt. Vårdsökande hänvisas i stor utsträckning att ringa till 1177 som kontaktväg för att erhålla vård, utan att andra kontaktvägar framhålls. Vårdsökandes kontakter med 1177 föranleder en omfattande behandling av känsliga och integritetskänsliga personuppgifter, som den vårdsökande som ringer 1177 inte kan motsätta sig. Det föreligger dock en rätt att få tillgång till personuppgifterna i efterhand.

text: Som har konstaterats är det ungefär 2,4 miljoner invånare i Stockholms län. Bristen på information kan således drabba ett mycket stort antal vårdsökande som ringer till 1177 och vars känsliga personuppgifter samlas in av Hälso- och sjukvårdsnämnden från MedHelp AB. Bestämmelserna om information innebär att Hälso- och sjukvårdsnämnden ska göra vårdsökande personer medvetna om personuppgiftsbehandlingen och vårdsökandenas rättigheter i samband med nämndens behandling av personuppgifter.

text: Det är försvårande att bristen på information är mycket omfattande, varaktig och rör ett stort antal vårdsökande som kan kontakta 1177 utan att dessa får information om bland annat Hälso- och sjukvårdsnämndens och dataskyddsombudets kontaktuppgifter. Avsaknaden av sådan kontaktinformation begränsar vårdsökandens möjligheter att utöva sina rättigheter, som att begära tillgång till personuppgifterna i efterhand. Det är även försvårande att information inte lämnas om att insamling av uppgifter sker för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB samt om insamling av samtalsinformation från MedHelp AB för uppföljnings- och kvalitetsändamål.

text: För att sanktionsavgifter ska vara effektiva, avskräckande och proportionerliga måste en sammanvägd bedömning göras i varje enskilt fall. Vad gäller sanktionsavgiftens storlek finner IMY utifrån en samlad bedömning, att Hälso- och sjukvårdsnämnden ska betala en administrativ sanktionsavgift på 500 000 (femhundra tusen) kronor för de konstaterade bristerna i information till vårdsökande.

text: Föreläggande

text: Hälso- och sjukvårdsnämnden har inte informerat vårdsökande enligt kraven i dataskyddsförordningen. Det är en stor mängd invånare som kan kontakta 1177 och som kan drabbas av bristen på information om bland annat vem som är personuppgiftsansvarig och dennes kontaktuppgifter. Avsaknaden av sådan kontaktinformation begränsar vårdsökandens möjligheter att exempelvis utöva rätten att begära tillgång till personuppgifter.

text: Hälso- och sjukvårdsnämnden ska därför föreläggas enligt artikel 58.2 d i dataskyddsförordningen att snarast och senast två månader efter det att beslutet vunnit laga kraft se till att behandlingen i detta avseende sker i enlighet med dataskyddsförordningen på det sätt som framgår av beslutet.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Suzanne Isberg. I handläggningen har juristen Mattias Sandström och enhetschefen Katarina Tullstedt medverkat. Vid den slutliga handläggningen har även it-säkerhetsspecialisten Magnus Bergström, rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

text: Lena Lindgren Schelin, 2021-06-07 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Kopia till

text: Dataskyddsombudet.

text: Bilaga

text: Bilaga – Information om betalning av sanktionsavgift.

type: avgorande


text: Regionstyrelsen Region Sörmland via e-post

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för

text: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 På webbplatsen 1177.se anges ”Ring telefonnummer 1177 för sjukvårdsrådgivning dygnet runt.”. 3 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: Folkmängd i riket, län och kommuner 31 december 2020 och befolkningsförändringar 1 oktober–31 december 2020. Totalt (scb.se)

sanktionsavgift: 250 000 kronor

slug: regionstyrelsen-region-sormland

title: Regionstyrelsen Region Sörmland – Beslut

sammanfattning: IMY beslutar att Regionstyrelsen Region Sörmland ska betala en administrativ sanktionsavgift på 250 000 kr.

text: DI-2019-7323 Beslut efter tillsyn enligt

text: dataskyddsförordningen mot Regionstyrelsen Region Sörmland

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Regionstyrelsen Region Sörmland (Regionstyrelsen) under okänd period före och under granskningen fram till den 31 december 2019 har behandlat personuppgifter i strid med artiklarna 5.1 a och 13 i 1 2 dataskyddsförordningen genom att inte informera vårdsökande som ringde 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 besvarades av vårdgivaren MedHelp AB.

text: IMY beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artikel 58.2 och 83 i dataskyddsförordningen att Regionstyrelsen ska betala en administrativ sanktionsavgift för överträdelserna av artiklarna 5.1 a och 13 i dataskyddsförordningen på 250 000 (tvåhundrafemtio tusen) kronor.

text: Bakgrund

text: Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

text: IMY inledde inledningsvis tillsyn mot Voice Integrate Nordic AB, Inera AB och MedHelp AB.

text: Det framkom att tre regioner anlitade MedHelp AB som vårdgivare på 1177 och Inera AB för att koppla fram samtalen till MedHelp AB. IMY inledde därför skriftlig tillsyn den 27 juni 2019 mot Regionstyrelsen för att kontrollera behandlingen av personuppgifter med anledning av att vårdsökande ringer 1177. Tillsyn inleddes samtidigt mot Hälso- och sjukvårdsnämnden Region Stockholm och Regionstyrelsen Region Värmland.

text: Motivering av beslutet

text: Rättslig bakgrund

text: Nationella regler om hälso- och sjukvård

text: Hälso- och sjukvårdens uppdrag regleras i bland annat hälso- och

text: sjukvårdslagen (2017:30)

text: , HSL.

text: Åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador definieras som hälso- och sjukvård,

text: 2 kap. 1 §

text: HSL. Med huvudman avses den region eller den kommun som enligt lagen ansvarar för att erbjuda hälso- och sjukvård till befolkningen i regionen eller kommunen. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet,

text: 2 kap. 2 §

text: HSL. Med vårdgivare avses statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet,

text: 2 kap. 3 §

text: HSL. Regioner och kommuner får med bibehållet huvudmannaskap sluta avtal med någon annan om att utföra de uppgifter som landstinget eller kommunen ansvarar för,

text: 15 kap. 1 §

text: HSL. Den som har ett författningsreglerat ansvar för att vård ges betecknas huvudman. Ansvaret innebär inte en skyldighet att själv bedriva verksamheten, utan driften kan ligga på någon annan som då betecknas vårdgivare (

text: prop. 1981/82:97 s. 33

text: f.). Det offentliga ansvaret som huvudman innebär inte bestämmanderätt över vårdgivarens dagliga verksamhet och det fråntar inte heller vårdgivaren ansvaret som följer med rollen som vårdgivare (

text: prop. 2016/17:43 s. 86

text: Personuppgiftsansvar

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Personuppgiftsansvariga ska enligt artikel 5.2 ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: Grundläggande principer och rättslig grund

text: Personuppgifter ska enligt artikel 5.1 a i dataskyddsförordningen behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). Principen om uppgiftsminimering i artikel 5.1 c innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig förpliktelse) eller 6.1.e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga. Enligt artikel 6.3 ska den grund för behandlingen som anges i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det innebär att om en vårdgivares behandling av personuppgifter är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse så krävs för att behandlingen ska vara laglig att

text: den rättsliga förpliktelsen eller uppgiften av allmänt intresse regleras i nationell rätt (eller i unionsrätten).

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

text: Registrerades rätt till information

text: Personuppgiftsansvarigas skyldighet att självmant tillhandahålla registrerade information om behandlingen av personuppgifterna framgår av artiklarna 13 och 14 i dataskyddsförordningen. Det är förhållandevis omfattande upplysningar som ska lämnas till de registrerade.

text: Samtal till 1177

text: Region Sörmland uppger bland annat följande. Regionen ansvarar ytterst för sjukvårdsrådgivningen via telefon till invånarna i länet enligt överenskommelse med övriga län vid upprättandet av 1177-numret. Regionen hade avtal med vårdgivaren MedHelp AB att sköta sjukvårdsrådgivningen för invånare i länet. Uppgifter om inringande persons telefonnummer och kommun-id samlas in från den inringande personens teleoperatör. Ändamålet för behandlingen är att dirigera inkommande samtal till rätt vårdgivare för sjukvårdsrådgivning. Behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller myndighetsutövning, artikel 6.1 e dataskyddsförordningen. Inga känsliga personuppgifter behandlas. Det är Regionstyrelsen som är personuppgiftsansvarig för denna behandling av personuppgifter. För dirigering av samtalen har regionen ett personuppgiftsbiträdesavtal med Inera AB. Regionen gick i mitten på november 2019 över till att bedriva sjukvårdsrådgivning via telefon i egen regi. Till och med den 31 december 2019 drevs sjukvårdsrådgivningen i Region Sörmland parallellt i egen regi och med stöd av MedHelp. Från och med 1 januari 2020 drivs den helt i egen regi.

text: IMY:s bedömning

text: Regionstyrelsen kunde med bibehållet huvudmannaskap enligt

text: 15 kap. 1 §

text: HSL sluta avtal med MedHelp om att utföra de uppgifter som regionen ansvarar för enligt HSL. IMY konstaterar att det inte har framkommit någon omständighet som motsäger Regionstyrelsens uppgift att styrelsen var personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen.

text: IMY bedömer att Regionstyrelsens behandling av personuppgifter om kommun-id och telefonnummer var adekvat, relevant och inte för omfattande i förhållande till ändamålet att tillse att samtal till 1177 togs om hand av MedHelp AB. Behandlingen bedöms därför ha varit förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Regionstyrelsen har en uppgift som är fastställd i nationell rätt genom HSL. Grunden för behandlingen är fastställd i enlighet artikel 6.3 i dataskyddsförordningen. IMY bedömer att Regionstyrelsens behandling av kommun-id och telefonnummer var en nödvändig behandling av personuppgifter för att styrelsen skulle fullgöra en uppgift av allmänt intresse och att det fanns rättsligt stöd för behandlingen enligt artikel 6.1 e.

text: Regionens information till vårdsökande

text: I dataskyddsförordningen finns långtgående skyldigheter att lämna information till registrerade. Den personuppgiftsansvarige har ansvaret för att informationen tillhandahålls.

text: Regionstyrelsen uppger bland annat följande.

text: Regionstyrelsen medger att den tekniska behandlingen där telefonsamtal dirigeras baserat på kommun-id inte tydligt framgår och avser att snarast förtydliga informationen på 1177.se avseende dirigering av samtal för sjukvårdsrådgivningen i enlighet med en text som framgår av ett yttrande den 25 november 2020.

text: IMY:s bedömning

text: IMY har den 25 juni 2019 tagit del av en utskrift från www.1177.se om 1177 sjukvårdsrådgivning på telefon, som delgetts i ärendet. På webbsidan framgår att bakom 1177 Vårdguiden står den svenska sjukvården genom alla regioner i samverkan. 1177 är ett nationellt telefonnummer för sjukvårdsrådgivning som man kan ringa dygnet runt. Varje region driver sin egen verksamhet för sjukvårdsrådgivning antingen i egen regi eller genom upphandlad underleverantör. De samtal som är rådgivningssamtal journalförs. Frågan ”Vem är ansvarig för att personuppgifterna hanteras rätt?” besvaras enligt följande ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt. När vården ges av en region är det en eller flera styrelser i regionen som är ytterst ansvariga. Inom den privata vården är det företaget eller den verksamhet som bedriver vården som är ansvariga.”

text: Informationsskyldigheten är omfattande och en grundläggande förutsättning för att enskilda ska kunna ha kunskap om och kontroll över hur deras personuppgifter behandlas. Krav på öppenhet är en grundläggande princip enligt artikel 5.1 a i dataskyddsförordningen. Av skäl 60 i dataskyddsförordningen framgår att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

text: Den personuppgiftsansvarige ska enligt artikel 12.1 i dataskyddsförordningen vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information enligt artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. I artikel 13 anges den information som den personuppgiftsansvarige ska tillhandahålla om personuppgifterna samlas in från den registrerade.

text: Information ska lämnas om bland annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med den behandling för vilken personuppgifterna är avsedda, den rättsliga grunden för behandlingen och att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. I förekommande fall ska information ges om kontaktuppgifter för dataskyddsombudet.

text: Regionstyrelsen samlade in vårdsökandenas telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 kunde tas om hand av vårdgivaren MedHelp AB. Från mitten av november 2019 bedrev Regionstyrelsen vården delvis i egen regi

text: vid samtal till 1177-numret samt från och med den 1 januari 2020 bedrivs den vården helt i egen regi.

text: IMY konstaterar att det enligt artikel 13 i dataskyddsförordningen ställs omfattande krav på information till registrerade som Regionstyrelsen inte har lämnat. Det är inte tillräckligt att styrelsen på webbplatsen 1177.se upplyser om att ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt.”

text: Exempelvis saknades information om att Regionstyrelsen är personuppgiftsansvarig, om styrelsens kontaktuppgifter, om ändamålet med behandlingen, om den rättsliga grunden för behandlingen samt om att det förelåg en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. Det saknades även kontaktuppgifter för dataskyddsombudet.

text: Genom att Regionstyrelsen inte har lämnat nödvändig information till vårdsökande i samband med insamlingen av telefonnummer och kommun-id vid vårdsökandes telefonsamtal, som kopplades till MedHelp AB, konstaterar IMY att Regionstyrelsen har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen. Folkmängden i Södermanlands län var 299 401 kvartal 4 2020. Bristen på information kunde således drabba många vårdsökande.

text: Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Avsaknaden av information enligt artikel 13 bedöms ha avsevärt begränsat vårdsökandes förutsättningar att ta tillvara sina rättigheter. IMY gör därför bedömningen att det även är fråga om en överträdelse av öppenhetsprincipen i artikel 5.1 a.

text: Val av ingripande

text: Möjliga ingripandeåtgärder beträffande information till vårdsökande

text: IMY har ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen, bland annat kan IMY förelägga den personuppgiftsansvariga att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Enligt artiklarna 58.2 och 83.2 i dataskyddsförordningen har IMY befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2.

text: Vidare framgår av artikel 83.2 dataskyddsförordningen vilka faktorer som ska beaktas vid beslut om att administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Medlemsstaterna får enligt artikel 83.7 fastställa regler för om och i vilken utsträckning offentliga myndigheter och organ ska kunna påföras administrativa sanktionsavgifter. Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att tillsynsmyndigheten får ta ut en

text: sanktionsavgift av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 tillämpas.

text: Sanktionsavgift ska påföras

text: IMY har ovan bedömt att Regionstyrelsen har överträtt artiklarna 5.1 a och 13 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.5 och vid en överträdelse av dessa ska tillsynsmyndigheten överväga att påföra administrativ sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder.

text: Mot bakgrund av att den konstaterade överträdelsen rörande brist informationen har rört ett stort antal vårdsökande, vilket har begränsat vårdsökandes möjligheter att ta tillvara sina rättigheter, är det inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand. Regionstyrelsen ska således påföras administrativa sanktionsavgifter.

text: Generella bestämmelser

text: För myndigheter gäller enligt

text: att sanktionsavgifterna ska bestämmas till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6. Överträdelser av artiklarna 5 och 13 omfattas av den högre sanktionsavgiften enligt artikel 83.5.

text: Alla som är sjuka har rätt till vård dygnet runt. Vårdsökande hänvisas i stor utsträckning att ringa till 1177 som kontaktväg för att erhålla vård, utan att andra kontaktvägar framhålls.

text: Som har konstaterats är det ungefär 300 000 invånare i Södermanlands län. Bristen på information kan således drabba ett stort antal vårdsökande som ringer till 1177. Bestämmelserna om information innebär att Regionstyrelsen ska göra vårdsökande personer medvetna om personuppgiftsbehandlingen och vårdsökandenas rättigheter i samband med Regionstyrelsens behandling av personuppgifter.

text: Det är försvårande att bristen på information var omfattande, varaktig och rörde ett stort antal vårdsökande som kunde kontakta 1177 utan att dessa fick information om bland annat Regionstyrelsens och dataskyddsombudets kontaktuppgifter. Avsaknaden av sådan kontaktinformation begränsar vårdsökandens möjligheter att utöva sina

text: rättigheter. Det är även försvårande att information inte lämnades om att insamling av uppgifter skedde för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB.

text: För att sanktionsavgifter ska vara effektiva, avskräckande och proportionerliga måste en sammanvägd bedömning göras i varje enskilt fall. Vad gäller sanktionsavgiftens storlek finner IMY utifrån en samlad bedömning, att Regionstyrelsen ska betala en administrativ sanktionsavgift på 250 000 (tvåhundrafemtio tusen) kronor för den konstaterade bristen i information till vårdsökande.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Suzanne Isberg. I handläggningen har enhetschefen Katarina Tullstedt och juristen Mattias Sandström medverkat. Vid den slutliga handläggningen har även it-säkerhetsspecialisten Magnus Bergström, rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

text: Hur man överklagar

text: Kopia till

text: Dataskyddsombudet via e-post.

text: Bilaga


text: Regionstyrelsen Region Värmland via e-post

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för

text: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 På webbplatsen 1177.se anges ”Ring telefonnummer 1177 för sjukvårdsrådgivning dygnet runt.”. 3 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: Folkmängd i riket, län och kommuner 31 december 2020 och befolkningsförändringar 1 oktober–31 december 2020. Totalt (scb.se)

nyckelord:
Dataskydd
Informationssäkerhet
Internet och appar
Hälso- och sjukvård

slug: regionstyrelsen-region-varmland

title: Regionstyrelsen Region Värmland – Beslut

sammanfattning: Förvaltningsrätten i Stockholm fastställde IMY:s beslut 10 juni 2022, mål nr 19603-21.

text: Beslut efter tillsyn enligt dataskyddsförordningen mot Regionstyrelsen Region Värmland

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Regionstyrelsen Region Värmland (Regionstyrelsen) under okänd period före och under granskningen fram till den 31 oktober 2019 har behandlat personuppgifter i strid med artiklarna 5.1 a och 13 i 1 2 dataskyddsförordningen genom att inte informera vårdsökande som ringde 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 besvarades av vårdgivaren MedHelp AB.

text: IMY beslutar med stöd av 6 kap. 2 § dataskyddslagen3 och artikel 58.2 och 83 i dataskyddsförordningen att Regionstyrelsen ska betala en administrativ sanktionsavgift för överträdelserna av artiklarna 5.1 a och 13 i dataskyddsförordningen på 250 000 (tvåhundrafemtio tusen) kronor.

text: Bakgrund

text: Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

text: IMY inledde inledningsvis tillsyn mot Voice Integrate Nordic AB, Inera AB och MedHelp AB.

text: Det framkom att tre regioner anlitade MedHelp AB som vårdgivare på 1177 och Inera AB för att koppla fram samtalen till MedHelp AB. IMY inledde därför skriftlig tillsyn den 27 juni 2019 mot Regionstyrelsen för att kontrollera behandlingen av personuppgifter med anledning av att vårdsökande ringer 1177. Tillsyn inleddes samtidigt mot Hälsooch sjukvårdsnämnden Region Stockholm och Regionstyrelsen Region Sörmland.

text: Motivering av beslutet

text: Rättslig bakgrund

text: Nationella regler om hälso- och sjukvård

text: Hälso- och sjukvårdens uppdrag regleras i bland annat hälso- och

text: sjukvårdslagen (2017:30)

text: , HSL.

text: Åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador definieras som hälso- och sjukvård,

text: 2 kap. 1 §

text: HSL. Med huvudman avses den region eller den kommun som enligt lagen ansvarar för att erbjuda hälso- och sjukvård till befolkningen i regionen eller kommunen. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet,

text: 2 kap. 2 §

text: HSL. Med vårdgivare avses statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet,

text: 2 kap. 3 §

text: HSL. Regioner och kommuner får med bibehållet huvudmannaskap sluta avtal med någon annan om att utföra de uppgifter som landstinget eller kommunen ansvarar för,

text: 15 kap. 1 §

text: HSL. Den som har ett författningsreglerat ansvar för att vård ges betecknas huvudman. Ansvaret innebär inte en skyldighet att själv bedriva verksamheten, utan driften kan ligga på någon annan som då betecknas vårdgivare (

text: prop. 1981/82:97 s. 33

text: f.). Det offentliga ansvaret som huvudman innebär inte bestämmanderätt över vårdgivarens dagliga verksamhet och det fråntar inte heller vårdgivaren ansvaret som följer med rollen som vårdgivare (

text: prop. 2016/17:43 s. 86

text: Personuppgiftsansvar

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Personuppgiftsansvariga ska enligt artikel 5.2 ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: Grundläggande principer och rättslig grund

text: Personuppgifter ska enligt artikel 5.1 a i dataskyddsförordningen behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). Principen om uppgiftsminimering i artikel 5.1 c innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig

text: förpliktelse) eller 6.1.e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga. Enligt artikel 6.3 ska den grund för behandlingen som anges i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det innebär att om en vårdgivares behandling av personuppgifter är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse så krävs för att behandlingen ska vara laglig att den rättsliga förpliktelsen eller uppgiften av allmänt intresse regleras i nationell rätt (eller i unionsrätten).

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

text: Registrerades rätt till information

text: Personuppgiftsansvarigas skyldighet att självmant tillhandahålla registrerade information om behandlingen av personuppgifterna framgår av artiklarna 13 och 14 i dataskyddsförordningen. Det är förhållandevis omfattande upplysningar som ska lämnas till de registrerade.

text: Samtal till 1177

text: Region Värmland uppger bland annat följande. Regionen ansvarar som huvudman enligt

text: 2 kap. 2 §

text: HSL för sjukvårdsrådgivning via numret 1177. Det är alltså regionen som ansvarar för att erbjuda invånarna hälso- och sjukvård. MedHelp är vårdgivare enligt

text: 2 kap. 3 §

text: HSL. Det är alltså MedHelp som bedriver hälso- och sjukvårdsverksamheten. Uppgifter om inringande persons telefonnummer och kommun-id samlas in från den inringande personens teleoperatör. Ändamålet med behandlingen är att kunna koppla inringaren till rätt sjukvårdshuvudman. Behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse, artikel 6.1 e dataskyddsförordningen. Känsliga personuppgifter behandlas inte. Det är Regionstyrelsen i Region Värmland som är personuppgiftsansvarig för behandlingen av personuppgifterna. Behandlingen utförs av Inera AB som personuppgiftsbiträde. Ineras behandling avser enbart inringande telefonnummer och kommun-id. Regionen bedriver sedan den 1 november 2019 sjukvårdsrådgivning per telefon i egen regi och har inte längre har något avtal med MedHelp.

text: IMY:s bedömning

text: Regionstyrelsen kunde med bibehållet huvudmannaskap enligt

text: 15 kap. 1 §

text: HSL sluta avtal med MedHelp om att utföra de uppgifter som regionen ansvarar för enligt HSL. IMY konstaterar att det inte har framkommit någon omständighet som motsäger Regionstyrelsens uppgift att styrelsen var personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen.

text: IMY bedömer att Regionstyrelsens behandling av personuppgifter om kommun-id och telefonnummer var adekvat, relevant och inte för omfattande i förhållande till ändamålet att tillse att samtal till 1177 togs om hand av MedHelp AB. Behandlingen bedöms därför ha varit förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Regionstyrelsen har en uppgift som är fastställd i nationell rätt genom HSL. Grunden för behandlingen är fastställd i enlighet artikel 6.3 i dataskyddsförordningen. IMY bedömer att Regionstyrelsens behandling av kommun-id och telefonnummer var en

text: nödvändig behandling av personuppgifter för att styrelsen skulle fullgöra en uppgift av allmänt intresse och att det fanns rättsligt stöd för behandlingen enligt artikel 6.1 e.

text: Regionens information till vårdsökande

text: I dataskyddsförordningen finns långtgående skyldigheter att lämna information till registrerade. Den personuppgiftsansvarige har ansvaret för att informationen tillhandahålls.

text: Regionstyrelsen uppger bland annat följande.

text: Regionstyrelsen medger att klar och tydlig information om behandling av telefonnummer och kommun-id inte tillhandahålls och anser därför att ett tillägg kan göras på webbsidan 1177.se enligt en text som framgår av ett yttrande den 25 november 2020.

text: IMY:s bedömning

text: IMY har den 25 juni 2019 tagit del av en utskrift från www.1177.se om 1177 sjukvårdsrådgivning på telefon, som delgetts i ärendet. På webbsidan framgår att bakom 1177 Vårdguiden står den svenska sjukvården genom alla regioner i samverkan. 1177 är ett nationellt telefonnummer för sjukvårdsrådgivning som man kan ringa dygnet runt. Varje region driver sin egen verksamhet för sjukvårdsrådgivning antingen i egen regi eller genom upphandlad underleverantör. De samtal som är rådgivningssamtal journalförs. Frågan ”Vem är ansvarig för att personuppgifterna hanteras rätt?” besvaras enligt följande. ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt. När vården ges av en region är det en eller flera styrelser i regionen som är ytterst ansvariga. Inom den privata vården är det företaget eller den verksamhet som bedriver vården som är ansvariga."

text: Informationsskyldigheten är omfattande och en grundläggande förutsättning för att enskilda ska kunna ha kunskap om och kontroll över hur deras personuppgifter behandlas. Krav på öppenhet är en grundläggande princip enligt artikel 5.1 a i dataskyddsförordningen. Av skäl 60 i dataskyddsförordningen framgår att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

text: Den personuppgiftsansvarige ska enligt artikel 12.1 i dataskyddsförordningen vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information enligt artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. I artikel 13 anges den information som den personuppgiftsansvarige ska tillhandahålla om personuppgifterna samlas in från den registrerade.

text: Information ska lämnas om bland annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med den behandling för vilken personuppgifterna är avsedda, den rättsliga grunden för behandlingen och att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. I förekommande fall ska information ges om kontaktuppgifter för dataskyddsombudet.

text: Regionstyrelsen samlade in vårdsökandenas telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 kunde tas om hand av vårdgivaren MedHelp AB. Från och med den 1 november 2019 har Regionstyrelsen övergått till att bedriva vården i egen regi vid samtal till 1177-numret.

text: IMY konstaterar att det enligt artikel 13 i dataskyddsförordningen ställs omfattande krav på information till registrerade som Regionstyrelsen inte har lämnat. Det är inte tillräckligt att styrelsen på webbplatsen 1177.se upplyser om att ”Det är din vårdgivare som har ansvar för att personuppgifterna hanteras på ett korrekt och lagligt sätt.”

text: Exempelvis saknades information om att Regionstyrelsen är personuppgiftsansvarig, om styrelsens kontaktuppgifter, om ändamålet med behandlingen, om den rättsliga grunden för behandlingen samt om att det förelåg en rätt att av den personuppgiftsansvarige begära tillgång till personuppgifter. Det saknades även kontaktuppgifter för dataskyddsombudet.

text: Genom att Regionstyrelsen inte har lämnat nödvändig information till vårdsökande i samband med insamlingen av telefonnummer och kommun-id vid vårdsökandes telefonsamtal, som kopplades till MedHelp AB, konstaterar IMY att Regionstyrelsen har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen. Folkmängden i Värmlands län var 282 885 kvartal 4 2020. Bristen på information kunde således drabba många vårdsökande.

text: Av artikel 5.1 a i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Avsaknaden av information enligt artikel 13 bedöms ha avsevärt begränsat vårdsökandes förutsättningar att ta tillvara sina rättigheter. IMY gör därför bedömningen att det även är fråga om en överträdelse av öppenhetsprincipen i artikel 5.1 a.

text: Val av ingripande

text: 6 kap. 2 § dataskyddslagen

text: framgår att tillsynsmyndigheten får ta ut en sanktionsavgift av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 tillämpas.

text: Sanktionsavgift ska påföras

text: Fastställande av sanktionsavgiftens storlek

text: Generella bestämmelser

text: Enligt artikel 83.1 dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 anges de faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek gällande överträdelsen. Vid bedömningen av storleken på sanktionsavgiften ska hänsyn tas till bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om det varit frågan om uppsåt eller oaktsamhet, vilka åtgärder som vidtagits för att lindra den skada som de registrerade har lidit, graden av ansvar med beaktande av de tekniska och organisatoriska åtgärder som genomförts i enlighet med artiklarna 25 och 32, hur tillsynsobjektet har samarbetat med tillsynsmyndigheten, vilka kategorier av personuppgifter som berörs, hur överträdelsen kom till IMY:s kännedom och om det finns andra försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst av förfarandet.

text: För myndigheter gäller enligt

text: 6 kap. 2 § andra stycket dataskyddslagen

text: Bedömning av förmildrande och försvårande omständigheter

text: Som har konstaterats är det ungefär 283 000 invånare i Värmlands län. Bristen på information kan således drabba ett stort antal vårdsökande som ringer till 1177. Bestämmelserna om information innebär att Regionstyrelsen ska göra vårdsökande personer medvetna om personuppgiftsbehandlingen och vårdsökandenas rättigheter i samband med Regionstyrelsens behandling av personuppgifter.

text: Det är försvårande att bristen på information var omfattande, varaktig och rörde ett stort antal vårdsökande som kunde kontakta 1177 utan att dessa fick information om bland annat Regionstyrelsens och dataskyddsombudets kontaktuppgifter. Avsaknaden av sådan kontaktinformation begränsar vårdsökandens möjligheter att utöva sina rättigheter. Det är även försvårande att information inte lämnades om att insamling av uppgifter skedde för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB.

text: Lena Lindgren Schelin, 2021-06-07 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Kopia till

text: Dataskyddsombudet via e-post.

text: Bilaga

text: Bilaga – Information om betalning av sanktionsavgift.