Okrypterade mejl dyrt för Uppsala

Integritetsskyddsmyndigheten, IMY, har beslutat att utfärda administrativa sanktionsavgifter på totalt 1,9 miljoner kronor mot Region Uppsala. Det sker efter att regionen skickat in två rapporter om personuppgiftsincidenter. 

Läs mer: IMY synar Väntetider i vården 

IMY har nu granskat incidentrapporterna – och hittat allvarliga brister i mejlhanteringen.

I det ena fallet har Akademiska sjukhuset skickat mejl med patientuppgifter till patienter och remittenter i länder utanför EU, alltså i tredjeland. Det har, enligt IMY, handlat om känsliga och okrypterade uppgifter som skickats via öppet nät. Myndigheten konstaterar också att sjukhusstyrelsen har lagrat känsliga personuppgifter i Outlook. 

”Det innebär att sjukhusstyrelsen inte har vidtagit lämpliga tekniska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen”, skriver IMY, i ett pressmeddelande.

För detta utfärdar IMY en sanktionsavgift på 1,6 miljoner kronor mot sjukhusstyrelsen i Region Uppsala.

I det andra fallet har känsliga personuppgifter och personnummer skickats via mejl. Själva överföringen var krypterad men inte informationen i mejlmeddelandena. 

”Det rör dels mejl med patientuppgifter som skickats automatiserat till berörda vårdförvaltningar inom regionen, dels mejl med patientuppgifter som skickats manuellt till forskare och läkare inom regionen”, skriver myndigheten.

För detta landar sanktionsavgiften på 300 000 kronor.

Båda besluten kan överklagas inom tre veckor till IMY.