1(8)
Hälso- och sjukvårdsnämnden i Region Dalarna
Diarienummer:
IMY-2022-695 Beslut efter tillsyn enligt
Ert diarienummer: dataskyddsförordningen – Hälso- och
HSN 2022/1069
Datum:
sjukvårdsnämnden i Region Dalarna
2023-01-17
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten (IMY) konstaterar att Hälso- och sjukvårdsnämnden i
Region Dalarna (nämnden) från den 6 maj 2021 till och med den 6 juli 2022 har
behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen1, genom
att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en
lämplig skyddsnivå i samband med utskick av fysiska kallelser till vissa vårdbesök
inom Region Dalarna.
IMY beslutar med stöd av 6 kap. 2 § dataskyddslagen2 och artiklarna 58.2 och 83 i
dataskyddsförordningen att nämnden ska betala en administrativ sanktionsavgift på
200 000 (tvåhundratusen) kronor.
Redogörelse för tillsynsärendet
IMY har inlett tillsyn mot nämnden med anledning av information som framkommit i ett
klagomål från en person som den 6 maj 2021 mottog en kallelse via brev till vårdbesök
inom Region Dalarna. Av klagomålet framgår att kallelsen låg i ett fönsterkuvert och att
uppgifter om att det var en kallelse, klagandens namn och adress samt den vårdinrätt-
ning kallelsen avsåg var fullt synliga i kuvertets fönster. Syftet med IMY:s tillsyn är att
utreda om nämndens behandling av personuppgifter i samband med användning av
den aktuella typen av fönsterkuvert vid kallelser till vårdbesök uppfyller kraven på
säkerhet i samband med behandlingen enligt artikel 32 i dataskyddsförordningen.
Inom ramen för tillsynsärendet har IMY endast granskat nämndens utskick av kallelser
gällande Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen
barn och unga Falun och Sömnlaboratoriet i Avesta.
Nämnden har i huvudsak uppgett följande. Nämnden är vårdgivare och personupp-
Postadress: giftsansvarig för den personuppgiftsbehandling som tillsynen avser. Kallelser från
Box 8114 Region Dalarna skickas med hjälp av Postnord Strålfors AB:s (Strålfors) funktion
104 20 Stockholm eBREV. Kallelserna skickas säkert i digitalt format från Region Dalarnas journalsystem
Webbplats: till Strålfors som maskinellt skriver ut, kuverterar och skickar kallelsen till adressaten.
www.imy.se
E-post:
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
[email protected]
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
Telefon: direktiv 95/46/EG (allmän dataskyddsförordning).
2 Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 2(8)
Datum: 2023-01-17
Nämnden identifierade risken med att använda dubbla fönster när tjänsten
upphandlades och köpte därför en tilläggstjänst som innebär att kuvert som endast
innehåller ett fönster med mottagarens adress ska användas. På dessa kuvert står
Region Dalarnas postadress tryckt där avsändaradressen vanligtvis placeras och
namnet på den klinik/avdelning som skickat kallelsen framgår alltså inte. Nämndens
uppfattning är att avsändarkliniken inte ska framgå av kuvertet.
I yttrande till IMY daterat den 28 april 2022 uppgav nämnden att den påbörjat en
utredning tillsammans med Strålfors. I yttrande daterat 16 juni 2022 uppgav nämnden i
huvudsak följande. Det är oklart när nämnden började skicka kallelser där patientens
namn och den vårdinrättning som kallelsen avser framgår av kuvertets fönster.
Utredningen visar att tilläggstjänsten där avsändaren är dold enbart gäller vid utskick
om maximalt fem A4-ark. Om utskicket innehåller fler A4-ark måste ett större kuvert
användas och då finns inga kundunika kuvert i det uppdrag som är tecknat gällande
eBREV, i stället används standardkuvert med två fönster. I samma yttrande uppgav
nämnden att utredningsarbetet för att se över flödet gällande utskick av kallelser via
eBREV och risker kopplade till dessa som skulle kunna generera en personuppgifts-
incident pågår. Parallellt med detta förs en diskussion med Strålfors om behovet av att
omförhandla kunduppdraget för att säkerställa att rätt typ av kuvert, med dold
avsändare, används för samtliga utskick.
I ett yttrande daterat den 16 juni 2022 uppgav nämnden att den behandling som är
föremål för tillsynen inte hade upphört. I en komplettering som nämnden gav in till IMY
den 6 juli 2022 angavs att nämnden, fram till dess att en överenskommelse uppnås
med Strålfors, kommer att ändra i mallen för kallelser till besök vid de tre enheter
(Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och
unga Falun och Sömnlaboratoriet i Avesta) som identifierats skicka kallelser med
bilagor som överstiger fem A4-ark. Nämnden har bifogat en bild som visar att
kallelserna kommer att skickas i ett kuvert med två fönster, där Region Dalarnas
postadress framgår av det ena fönstret och uppgifter om att det rör sig om ett besök
via videolänk och patientens namn samt adress i det andra.
I yttrande daterat den 9 augusti 2022 har nämnden uppgett att tidigare svar har utgått
från kallelser som skickats genom IT-systemet Take Care. Det rör sig om cirka 2 500
kallelser per år vilket motsvarar 0,5 procent av det totala antalet kallelser som skickats
genom det aktuella systemet.
Motivering av beslutet
Tillämpliga bestämmelser
Dataskyddsförordningens tillämpningsområde
Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på
sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg
samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer
att ingå i ett register.
I doktrin anges att eftersom dataskyddsförordningen omfattar delvis automatiserad
behandling av personuppgifter, är förordningen tillämplig vid utlämnande på papper av
personuppgifter som finns i dataformat.3 Vidare har justitiekanslern bedömt att
3 Se Öhman, Dataskyddsförordningen (GDPR) m.m. (13 oktober 2022, version 2A, JUNO), kommentaren till artikel
2.1 underrubriken Automatiserad behandling.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 3(8)
Datum: 2023-01-17
uttrycket ”helt eller delvis automatiserad behandling av personuppgifter” i den numera
upphävda personuppgiftslagen (1998:204) omfattade utskick av handlingar via post
när den bakomliggande behandlingen av personuppgifterna var automatiserad.4
Personuppgifter definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning
som avser en identifierad eller identifierbar fysisk person.
Behandling definieras i artikel 4.2 i dataskyddsförordningen som en åtgärd eller
kombination av åtgärder beträffande personuppgifter eller uppsättningar av
personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling,
registrering, organisering, strukturering, lagring, bearbetning eller ändring,
framtagning, läsning, användning, utlämning genom överföring, spridning eller
tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering
eller förstöring.
Personuppgiftsansvar och principen om ansvarsskyldighet
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en
fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som
ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behand-
lingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av
unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige
eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i
medlemsstaternas nationella rätt.
Enligt 2 kap. 6 § patientdatalagen (2008:355), PDL, är en vårdgivare personuppgifts-
ansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region eller
en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgifts-
ansvarig för den behandling av personuppgifter som myndigheten utför.
Den personuppgiftsansvarige ska enligt artikel 5.2 i dataskyddsförordningen ansvara
för och kunna visa att principerna i artikel 5.1 efterlevs (principen om
ansvarsskyldighet).
Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och
organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i
enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av
behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av
varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter.
Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i
dataskyddsförordningen.
Uppgifter om hälsa
Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som person-
uppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet
tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes
hälsostatus. Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är
förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförord-
ningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i
förordningen.
4 Se JK-beslut 2020-05-18, dnr 3850-19-4.3.2.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 4(8)
Datum: 2023-01-17
I skäl 35 till dataskyddsförordningen anges följande. Personuppgifter om hälsa bör
innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som
ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller
psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som
insamlats i samband med registrering för eller tillhandahållande av hälso- och
sjukvårdstjänster till den fysiska personen enligt Europaparlamentets och rådets
direktiv 2011/24/EU, ett nummer, en symbol eller ett kännetecken som den fysiska
personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter
som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans,
däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis
sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den
registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempel-
vis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk
produkt eller ett diagnostiskt in vitro-test.
EU-domstolen har i målet Lindqvist (C-101/01, EU:C:2003:596, punkt 51) slagit fast att
en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en person-
uppgift som rör hälsa enligt dataskyddsdirektivet5 (direktivet upphävdes genom
dataskyddsförordningen). EU-domstolen uttalade i målet att med hänsyn till syftet med
dataskyddsdirektivet ska uttrycket "uppgifter som rör hälsa" ges en vid tolkning och
anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som
psykiska sådana (se punkt 50). EU-domstolen har vidare i ett senare avgörande
Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601) konstaterat att
begreppet känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen ska
tolkas brett och bedömt att även personuppgifter som indirekt avslöjar en fysisk
persons sexuella läggning utgör känsliga personuppgifter enligt den aktuella
bestämmelsen.
Europeiska dataskyddsstyrelsen (EDPB) har uttalat att begreppet uppgifter om hälsa
enligt dataskyddsförordningen måste tolkas brett mot bakgrund av bland annat EU-
domstolens dom i målet Lindqvist och då det framgår av skäl 53 till dataskydds-
förordningen att uppgifter om hälsa förtjänar ett omfattande skydd6. IMY har i ett
rättsligt ställningstagande bedömt att uppgifter om förvaltarskap enligt föräldrabalken
är uppgifter om hälsa (IMYRS 2022:3).
Kravet på säkerhet vid behandling av personuppgifter
Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och
personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att
säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.
Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna
och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av
varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.
Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som
behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller
ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter som
överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i
dataskyddsförordningen.
5 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.
6 Se EDPB:s riktlinjer 03/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband
med covid-19-utbrottet, s. 5.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 5(8)
Datum: 2023-01-17
I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen
av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av
konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om
behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om
behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn,
eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort
antal registrerade.
I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den
registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art,
omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en
objektiv bedömning, genom vilken fastställt huruvida uppgiftsbehandlingen inbegriper
en risk eller hög risk.
Om den personuppgiftsansvarige anlitar ett personuppgiftsbiträde för att genomföra en
behandling ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som
ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska
åtgärder. Det ska ske på ett sådant sätt att behandlingen uppfyller kraven i
dataskyddsförordningen och att den registrerades rättigheter skyddas. Det framgår av
artikel 28.1 och skäl 81 i dataskyddsförordningen.
Integritetsskyddsmyndighetens bedömning
Utredningen i ärendet visar att nämnden under perioden den 6 maj 2021 till och med
den 6 juli 2022 har använt sig av en tjänst för utskick av fysiska brev som inneburit att
vissa kallelser till vårdbesök har skickats ut i fönsterkuvert där uppgifter om att det är
en kallelse, patientens namn och adress samt den vårdinrättning som besöket avser
varit fullt synliga.
Dataskyddsförordningen är tillämplig
Den information i kallelserna som varit synlig genom fönsterkuverten avser
identifierade personer. Det är således fråga om personuppgifter. Nämndens
behandling av personuppgifterna består av en serie av åtgärder där nämndens
utlämnande av personuppgifter med fysisk post varit en del. Den bakomliggande delen
av processen, som bland annat innebär att kallelser skickas i digitalt format från
Region Dalarnas journalsystem, är automatiserad. IMY bedömer därför att det är fråga
om en delvis automatiserad behandling av personuppgifter som omfattas av
dataskyddsförordningens tillämpningsområde.
Personuppgiftsansvar
Nämnden har uppgett att den är personuppgiftsansvarig vårdgivare för den behandling
av personuppgifter vid kallelser till vårdbesök inom Region Dalarna som är föremål för
tillsyn, vilket stöds av den övriga utredningen i ärendet. IMY bedömer därför att
nämnden är personuppgiftsansvarig för den aktuella behandlingen.
Behandlingen har inneburit en hög risk
Som personuppgiftsansvarig ska nämnden, enligt artikel 32.1 i dataskyddsförord-
ningen, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en
lämplig säkerhetsnivå i förhållande till riskerna vid behandling av personuppgifter. Det
gäller även när personuppgifter behandlas av ett personuppgiftsbiträde. IMY gör
följande bedömning av riskerna med den aktuella behandlingen.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 6(8)
Datum: 2023-01-17
Enligt uppgift från nämnden har kallelser som visat avsändande mottagning skickats
från Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn
och unga Falun och Sömnlaboratoriet i Avesta. Utredningen i ärendet visar att
mottagningarna erbjuder vård för barn och unga i åldern 0–17 år med sjukdomar och
ohälsa som kräver mer specialistkunskap och resurser än vad som normalt finns på
vårdcentral, hjälp för barn och unga upp till 17 år med lindrig till måttlig psykisk ohälsa
respektive utredning och behandling av olika sömnbesvär.
IMY konstaterar att begreppet hälsa ska tolkas brett och bedömer att den vård som
ges vid vårdinrättningarna i fråga är så pass specifik att en kallelse till besök på någon
av dessa mottagningar får anses ge information om den enskildes fysiska eller
psykiska hälsotillstånd.
IMY bedömer mot den bakgrunden att uppgifterna gällande dessa vårdinrättningar,
som varit fullt synliga vid utskicken, utgör uppgifter om hälsa i den mening som avses i
artikel 4.15 i dataskyddsförordningen. Uppgifterna är därmed s.k. känsliga
personuppgifter som omfattas av skyddet enligt artikel 9.1 i förordningen.
Uppgifterna skyddas dessutom inom hälso- och sjukvården av sekretess enligt
25 kap. 1 § offentlighets- och sekretesslagen (2009:400). Eftersom två av de berörda
vårdinrättningarna enbart bedriver vård för personer som är 17 år eller yngre kan
vidare konstateras att uppgifterna i vissa fall även har avsett barn, som anses särskilt
skyddsvärda enligt dataskyddsförordningen7. Det rör sig därtill om en omfattande
behandling som omfattar cirka 2 500 utskick från flera olika vårdinrättningar.
Mot denna bakgrund bedömer IMY att det rör sig om en behandling som inneburit en
hög risk och att det därför krävts ett starkt skydd.
Nämnden har inte vidtagit tillräckliga säkerhetsåtgärder
IMY konstaterar att utskicken med kallelser till besök vid Barn- och ungdomsmedicin-
ska mottagningen Mora, Samtalsmottagningen barn och unga Falun och
Sömnlaboratoriet i Avesta skett på ett sådant sätt att de känsliga personuppgifterna
har varit fullt synliga för alla som kommit i kontakt med breven. Uppgifterna har varit
tillgängliga för exempelvis den som arbetar med att hantera post, den som delar
hushåll med mottagaren och den som tagit emot ett brev som levererats till fel adress.
För att uppnå en lämplig säkerhetsnivå borde utskicken, enligt IMY:s bedömning, ha
skett på ett sådant sätt att de känsliga personuppgifterna inte var synliga. Nämnden
har således inte förmått att säkerställa den säkerhetsnivå som krävs enligt artikel 32.1
i dataskyddsförordningen.
Det kan konstateras att nämndens uppfattning visserligen är att det inte ska framgå av
kuvertet vilken mottagning som en kallelse till vårdbesök avser och att nämnden därför
upphandlat en tjänst i syfte att dölja avsändande mottagning. Efter att IMY inlett tillsyn
genomförde nämnden dock en utredning som visade att den aktuella tjänsten endast
omfattade kallelser om maximalt fem A4-ark och att övriga kallelser skickats i kuvert
som visat vilken klinik som besöket avsåg. IMY konstaterar att det har ankommit på
nämnden som personuppgiftsansvarig att inför behandlingen i fråga säkerställa att den
aktuella tilläggstjänsten uppfyllde behovet av att hålla uppgifterna dolda från andra än
mottagaren av brevet.
7 Se skäl 38 till dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 7(8)
Datum: 2023-01-17
Mot denna bakgrund bedömer IMY att nämnden inte har vidtagit tillräckliga åtgärder
för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med den
aktuella behandlingen. Nämnden har därför behandlat personuppgifter i strid med
artikel 32.1 i dataskyddsförordningen.
Val av ingripande
Tillämpliga bestämmelser
Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogen-
heter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand,
föreläggande och sanktionsavgifter.
Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa
sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2
beroende på omständigheterna i det enskilda fallet. Medlemsstaterna får fastställa
regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras
offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Enligt
6 kap. 2 § dataskyddslagen får IMY ta ut sanktionsavgifter av myndigheter vid
överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen och att
artikel 83.1, 83.2 och 83.3 i förordningen då ska tillämpas.
I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid beslut
om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens
storlek. Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till
dataskyddsförordningen utfärda en reprimand istället för att påföra en sanktionsavgift.
De faktorer som anges i artikel 83.2 i dataskyddsförordningen ska beaktas även vid
bestämmandet av sanktionsavgiftens storlek. Varje tillsynsmyndighet ska säkerställa
att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt,
proportionellt och avskräckande. Det framgår av artikel 83.1 i dataskyddsförordningen.
Sanktionsavgift ska påföras
IMY har kommit fram till att nämnden har behandlat personuppgifter i strid med artikel
32.1 i dataskyddsförordningen. IMY finner vid en samlad bedömning av de
omständigheter som beskrivs under rubriken Sanktionsavgiftens storlek att det finns
skäl att påföra nämnden en sanktionsavgift och att det därmed inte är fråga om en
sådan mindre överträdelse att det finns skäl att i stället utfärda en reprimand.
Sanktionsavgiftens storlek
För överträdelser av bland annat artikel 32 i dataskyddsförordningen får
sanktionsavgiften för offentliga myndigheter uppgå till högst 5 000 000 kronor. Det
framgår av 6 kap. 2 § dataskyddslagen samt artikel 83.4 i dataskyddsförordningen.
I bedömningen av överträdelsens allvarlighet beaktar IMY i enlighet med artikel 83.2 g
i dataskyddsförordningen att behandlingen har omfattat känsliga personuppgifter om
hälsa och uppgifter om barn, som är särskilt skyddsvärda enligt dataskydds-
förordningen.
Vidare beaktar IMY vad som framkommit om överträdelsens karaktär, svårighetsgrad
och varaktighet utifrån vad som anges i artikel 83.2 a i dataskyddsförordningen. Därvid
kan konstateras att överträdelsen pågått under en längre tid om drygt ett år, från och
med den 6 maj 2021, då den patient som lämnade in det klagomål som ligger till grund
för tillsynen mottog sin kallelse, fram till och med den 6 juli 2022, när nämnden vidtog
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-695 8(8)
Datum: 2023-01-17
åtgärder för att dölja avsändande mottagning på kuvertet vid utskicken. Mot bakgrund
av att nämnden uppgett att det rör sig om cirka 2 500 kallelser per år kan även
konstateras att överträdelsen berör ett stort antal registrerade. Vidare innebär det
förhållandet att överträdelsen har förekommit inom vården – dvs. en verksamhet där
den registrerade patienten befinner sig i en beroendeställning och utsatt position i
förhållande till den personuppgiftsansvarige – att det finns skäl att se allvarligare på
överträdelsen. IMY bedömer dock att det även finns faktorer som talar i motsatt
riktning vid bedömningen av överträdelsens allvarlighetsgrad. För det första rör det sig
om en fysisk hantering och inte en digital som skulle ha inneburit en risk för större och
snabbare spridning av uppgifterna. En distribution genom ordinarie postgång är mer
begränsad och kontrollerad än en överföring via det öppna nätet. Vidare har
framkommit att nämnden identifierade risken med att exponera de aktuella
personuppgifterna vid utskicken och därför vidtog vissa åtgärder i syfte att efterleva
kraven och minska riskerna med behandlingen.
IMY bestämmer utifrån en samlad bedömning av omständigheterna i ärendet att
Hälso- och sjukvårdsnämnden i Region Dalarna ska betala en administrativ
sanktionsavgift på 200 000 kronor.
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning
av juristen Maja Welander. Vid den slutliga handläggningen av ärendet har även
rättschefen David Törngren, den tillförordnade enhetschefen Linn Sandmark och it-
och informationssäkerhetsspecialisten Magnus Bergström medverkat.
Lena Lindgren Schelin, 2023-01-17 (Det här är en elektronisk signatur)
Kopia till
Nämndens dataskyddsombud
Klaganden
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet
meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskydds-
myndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.