Sveriges Kommuner och Regioner, SKR, behandlar personuppgifter i den nationella väntetidsdatabasen i strid med dataskyddsförordningen.
Det menar Integritetsskyddsmyndigheten, IMY, som har beslutat att ge SKR en reprimand och att användningen ska upphöras inom två år.
IMY har granskat hur personuppgifter behandlas i den nationella väntetidsdatabasen som används för att ta fram väntetidsstatistik i vården och följa upp den statliga vårdgarantin.
Varje år rapporterar regionerna in cirka 40 miljoner vårdbesök till väntetidsdatabasen. En stor del av uppgifterna som registreras är hälsouppgifter, vilket är känsliga personuppgifter enligt dataskyddsförordningen (GDPR).
Har saknat stöd för hanteringen av personuppgifterna
IMY bedömer i sin granskning att SKR är personuppgiftsansvarig för behandlingen som sker i väntetidsdatabasen och att SKR saknar stöd för hanteringen av personuppgifterna.
”Att SKR bedöms sakna stöd för behandlingen beror bland annat på att lagstiftaren – när regleringen av väntetidsdatabasen infördes – uttalade att databasen inte kommer att innehålla några personuppgifter. När känsliga personuppgifter behandlas på det sätt som görs i väntetidsdatabasen krävs även särskild reglering med skyddsåtgärder, till exempel tystnadsplikt och behörighetsstyrning”, skriver IMY.
– Även om väntetidsdatabasen är ett centralt verktyg för att följa upp svensk vård så är det viktigt att det finns stöd för en så omfattande hantering av känsliga personuppgifter som databasen medför, säger Eric Leijonram, generaldirektör för IMY.
Reprimand och förbud
Eftersom SKR saknar stöd för behandlingen av personuppgifter i databasen har IMY beslutat att utfärda en reprimand och ett förbud.
IMY gör samtidigt bedömningen att databasen fyller en viktig samhällelig funktion och har därför beslutat att förbudet ska börja gälla först efter två år.
”Tiden är satt för att författningsstöd ska kunna tas fram för behandlingen av personuppgifter i databasen alternativt att SKR ska kunna vidta åtgärder så att personuppgifter inte längre behandlas i databasen”, skriver SKR.
