En tidigare anställd i Region Östergötland döms för dataintrång efter att utan behörig skäl ha öppnat 129 patientjournaler. Tingsrätten dömer henne till villkorlig dom och skadestånd på totalt 288 000 kronor i skadestånd till 36 patienter, rapporterade SVT Nyheter den 6 oktober.
Enligt Corren arbetade kvinnan som administratör på den psykiatriska kliniken i Linköping. Mellan den 11 november 2022 och den 9 maj 2023 öppnade hon patientjournaler i regionens journalsystem Cosmic vid 129 tillfällen. Journalerna tillhörde ett hundratal patienter varav några var bekanta till henne och andra helt okända. Anteckningarna rörde bland annat gynekologiska besök, sorgbearbetning och beroendeproblematik.
Kvinnan har erkänt gärningen och uppget att hon var nyfiken. En av journalerna var hennes egen. Enligt domen har hon inte fört uppgifterna vidare.
Loggkontrollen upptäckte intrången efter ett halvår
Det var regionens egna loggkontroller som avslöjade intrången. Tingsrätten grundade sin bedömning på logguppgifter och regionens interna utredning, skriver SVT. En källa med insyn, som Corren inte namnger, uppger att hon fick lämna sin tjänst samma dag som intrånget upptäcktes i maj 2023. Hon polisanmäldes också.
Patientdatalagen förbjuder vårpersonal att läsa en patients journal om det inte behövs för arbetet inom hälso- och sjukvården. vårdarbetet. Förbjudet gäller även den egna journalen och anhörigas journaler. Socialstyrelsens föreskrifter, ( HSLF-FS 2016:40), kräver att vårdgivare genomför systematiska och återkommande kontrollera av åtkomstloggarna.
Det dröjde omkring sex månader innan intrånget upptäcktes. Då hade kvinnan hunnit öppna journaler vid 129 tillfällen.
IMY krävde snävare behörigheter i Cosmic redan 2020
I december 2020 slog Datainspektionen, numera integritetsmyndigheten (IMY), fast att regionen inte hade genomfört den behovs- och riskanalys som krävs innan personal tilldelas behörighet i Cosmic. Myndigheten förelade regionen att genomföra analysen och därefter tilldela varje användare individuell behörighet utifrån resultatet. Sanktionsavgiften uppgick till 2,5 miljoner kronor.
Mindre än två år senare började kvinnan läsa journaler utan behörighet. Varken SVT eller Corren återger några uppgifter ur domen om vilken behörighet en administratör inom psykiatrin hade eller varför hon kunde öppna de aktuella journalerna.
Ytterligare tre domar i år
Östersunds tingsrätt har dömt en medicinsk sekreterare i Jämtland för 17 fall av dataintrång, efter att hon loggat in i en anhörigs journal utan att det fanns någon vårdsrelation som motiverade åtkomsten. Det rapporterade Östersunds-Posten den 7 oktober. Påföljden blev dagsböter.
I skara dömdes en 40-årig kvinna i maj för 53 fall av dataintrång som begicks mellan december 2020 och maj 2023. Enligt Lidköpingsnytt uppdagades saken först när en av de drabbade berättade att privata uppgifter hade spridits.
I mars dömdes en sjuksköterska i Lidköping till villkorlig dom av Skaraborgs tingsrätt för att ha öppnat 150 patientjournaler utan behörigt skäl. Enligt Nya Lidköpings- Tidningen fick e flesta av de 16 målsägandena 8 000 kronor var i skadestånd.
Samma belopp får var och en av de 36 patienterna i Östergötland, utöver ränta.
I samtliga fyra fall hade journalerna redan lästs innan intrången uppmärksammades, och i Skara var det en av de drabbade som slog larm. Om vi arbetade som CISO:er inom vården skulle vi därför börja med behörigheterna snarare än med loggarna. Välj en administrativ roll, ta fram en lista över alla journaler som användare med den rollen öppnade under föregående månad och undersök hur många av åtkomsterna som motiverades av en faktiskt vårdrelation.
Referenser
- Döms för dataintrång i 129 patientjournaler
- Vårdanställd döms: gick in i patienters journaler 129 gånger
- Tillsynsbeslut mot Region Östergötland, DI-2019-3843
- Patientdatalag (2008:355)
- HSLF-FS 2016:40 om journalföring och behandling av personuppgifter i hälso- och sjukvården
- Sekreterare döms för dataintrång
- Öppnade patientjournaler 53 gånger utan skäl
- Sjuksköterska döms för massivt dataintrång i Lidköping
This post is also available in:
English
