Region Syddanmark politianmeldt for utilstrækkelige sikkerhedsforanstaltninger ved offentliggørelse af patientdata

Datatilsynet har politianmeldt Region Syddanmark for manglende overholdelse af sikkerhedsforanstaltninger ved offentliggørelse af personoplysninger på regionens hjemmeside. Sagen omhandler en PowerPoint-præsentation, der indeholdt personoplysninger om 3.915 patienter, herunder helbredsoplysninger og CPR-numre, som havde været tilgængelig siden maj 2011.

Baggrund

• Region Syddanmark anvendte et screeningsværktøj til at identificere utilsigtet offentliggjorte CPR-numre på deres hjemmeside.
• Værktøjet kunne ikke scanne bagvedliggende data i PowerPoint-præsentationer, hvilket resulterede i, at de pågældende personoplysninger ikke blev opdaget.
• Region Syddanmark blev først opmærksom på problemet i februar 2020, da de blev kontaktet af en borger.

Region Syddanmarks forklaring

• Regionen har siden marts 2013 anvendt et screeningsværktøj til at scanne dokumenter for personnumre.
• Screeningsværktøjet scannede ikke for andre typer af oplysninger, som f.eks. helbredsoplysninger.

Datatilsynets vurdering

• Region Syddanmark havde ikke tilstrækkeligt kendskab til screeningsværktøjets funktionalitet.
• Regionen havde ikke gennemført løbende passende screening af filer for personoplysninger.
• Regionen havde ikke løbende afprøvet virkningen af regionens sikkerhedsforanstaltninger.
• Region Syddanmark burde have etableret tekniske eller organisatoriske foranstaltninger til at screene for andre typer af oplysninger, herunder helbredsoplysninger.

Datatilsynet har indstillet Region Syddanmark til en bøde på 500.000 kr. og har politianmeldt regionen for manglende overholdelse af databeskyttelsesforordningens krav om passende sikkerhedsforanstaltninger.

Begrundelse for politianmeldelse og bødeindstilling:

• Region Syddanmark behandler store mængder af personoplysninger, herunder følsomme helbredsoplysninger og CPR-numre.
• Regionen har en skærpet forpligtelse til at beskytte disse oplysninger mod utilsigtet offentliggørelse eller videregivelse.
• Regionen har ikke ført en passende kontrol med offentliggjorte dokumenter og oplysninger.