Region Uppsala

Vi är klara med granskningen och utfärdar en reprimand mot sjukhusstyrelsen. Bakgrund Sjukhusstyrelsen i Region Uppsala (hädanefter Sjukhusstyrelsen) bedriver och utför vård enligt hälso- och sjukvårdslagen (2017:30), HSL, vid Uppsala Akademiska sjukhus och Lasarettet i Enköping. Den 29 november 2022 mottog IMY en anmälan om en personuppgiftsincident som skett inom ramen för Sjukhusstyrelsens vårdverksamhet. Anmälan avsåg upptäckten att personuppgifter om patienter, innefattande personnummer och uppgifter om hälsa, under perioden 2014-2022, hade behandlats i e-posttjänsten Microsoft Outlook. Enligt anmälan har incidenten berott på bristande organisatoriska rutiner eller processer. Med anledning av anmälan … Gällande regler Den personuppgiftsansvariges ansvar Den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Det framgår av artikel 4.7 i dataskyddsförordningen. Enligt 2 kap. 6 § första stycket PDL är en vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som …

IMY utfärdar två administrativa sanktionsavgifter, en på 300 000 kronor mot regionstyrelsen i Region Uppsala och en på 1,6 miljoner kronor mot sjukhusstyrelsen i Region Uppsala. Utgångspunkten för tillsynen IMY beslutade att inleda en tillsyn mot regionstyrelsen efter en anmälan om personuppgiftsincident från regionstyrelsen den 7 maj 2019. IMY:s granskning omfattar två kategorier av personuppgiftsbehandlingar. Den första kategorin avser e-postmeddelanden med patientuppgifter som skickades automatiserat till berörda vårdförvaltningar inom Region Uppsala för bland annat administration och kvalitetssäkring. Den andra kategorin avser e-postmeddelanden med patientuppgifter som skickades manuellt till forskare och läkare inom Region Uppsala för bland annat forskning och kvalitetsuppföljning. IMY har granskat om personuppgiftsbehandlingarna i … Gällande regler Den personuppgiftsansvariges ansvar Den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Det framgår av artikel 4.7 i dataskyddsförordningen. Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs (artikel 5.2 i förordningen). Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande …

Vi har granskat behandlingen av personuppgifter och fattat ett beslut. Bakgrund Datainspektionen inledde den 17 november 2017 tillsyn mot Region Uppsala (Regionen) efter att inspektionen mottagit ett klagomål från en patient om att en apoteksstuderande vid två tillfällen hösten 2016 varit inloggad i dennes patientjournal vid en vårdcentral. Tillvägagångssätt Tillsynen har genomförts skriftligen. Datainspektionen har ställt frågor om den påtalade uppgiften att apoteksstuderande har haft tillgång till patientjournaler, bl.a. i vilket syfte apoteksstuderande getts elektronisk åtkomst samt i vilken omfattning och under vilka förutsättningar som de studerande haft tillgång till …