200 000 kronor i böter för borttappat USB-minne med patientuppgifter

Integritetsskyddsmyndigheten utfärdar en sanktionsavgift mot Region Skåne om 200 000 kronor eftersom regionen tappat bort ett okrypterat usb-minne med känsliga personuppgifter om patienter.

Integritetsskyddsmyndigheten, IMY, inledde tillsyn mot Region Skåne efter att ha tagit emot en inrapporterad personuppgiftsincident och klagomål från registrerade. Av incidentanmälan framgår att en medarbetare tappat bort ett okrypterat usb-minne som innehåller personnummer och känsliga personuppgifter om närmare 2 000 personer. Under granskningen har framkommit att usb-minnet inte har återfunnits.

Dagens Juridik Pro Powered by Lexnova

Leila Nedaei Jurist och konsult

Nedsatt beslutsförmåga – en rättslig gråzon i vården Patientens samtycke är en grundläggande rättslig utgångspunkt för hälso- och sjukvård. Men vad gäller när en vuxen patient inte själv kan ta ställning till den vård som behövs? När får vård ändå ges, vilken betydelse har patientens tidigare uttryckta vilja och kan närstående eller ställföreträdare träda in i patientens ställe? Ebba Sverne Arvill och Leila Nedaei analyserar rättsläget och den gråzon som uppstår när vårdbehovet kvarstår men patienten på grund av nedsatt beslutsförmåga inte själv kan lämna ett giltigt samtycke.

Ingår i Dagens Juridik Pro

Lås upp analysen

Inte tillräckliga

IMY:s slutsats är att de tekniska och organisatoriska åtgärder som regionen vidtagit inte var tillräckliga för att försäkra sig om en lämplig säkerhetsnivå i förhållande till risken med behandlingen. Detta eftersom regionen har lagrat känsliga personuppgifter på ett okrypterat usb-minne som sedan tappats bort. Innehållet på usb-minnet kopplar ihop uppgifter om hälsa med ett stort antal patienter genom deras personnummer, vilket innebär en hög risk för de registrerades fri- och rättigheter.

IMY konstaterar i sitt beslut att överträdelsen rör ett stort antal registrerade vars personuppgifter skyddas av sekretess. Det är dessutom en försvårande omständighet att usb-minnet inte återfunnits och att det är oklart vilken spridning personuppgifterna kan ha fått. IMY bestämmer utifrån en samlad bedömning att regionen ska betala en administrativ sanktionsavgift på 200 000 kronor. (Blendow Lexnova) 

Gratis nyhetsbrev om rättsfall , juridik och näringsliv från Dagens Juridik – klicka här