En kvinna har dömts för att ha läst patientjournaler som hon inte hade behörighet för. Hon har avslutat sin anställning inom Region Östergötland.
Det var i september 2019 som ett 15-tal patienter fick information via brev om att de blivit utsatta för misstänkt dataintrång.
– I två år har obehaget över det inträffade hela tiden funnits i kulisserna, så det är skönt att det blev en fällande dom, säger en drabbad.
– Samtidigt är skadan redan skedd. Personen har vetskap om djupt personliga saker om mig och min familj som kan spridas vidare.
Intrånget pågick under april, maj och juni 2019 och den anställde läste i journalerna vid ungefär 50 tillfällen, ibland tio gånger om dagen. I polisförhör har hon hävdat att hon gjorde sökningarna för att lära sig hur systemet fungerade och att hon valde ut personer som hon kände till. Tingsrätten håller dock denna förklaring för osannolik och kvinnan döms till villkorlig dom och 40 dagsböter á 230 kronor. Hon ska även betala skadestånd till de drabbade på 5 000 kronor vardera, förutom till en av dem. Till denne ska hon betala 10 000 kronor, då hon varit inne i journalen flera gånger om dagen i 28 dagar.
– Jag önskar att regionen hade säkrare system och bättre rutiner. Det känns olustigt att anställda så enkelt kan ta del av privat information, säger den drabbade.
Rickard Lundin är regionens säkerhetschef. Han ser allvarligt på det inträffade, men säger samtidigt att balansgången mellan integritetsintressen och patientsäkerheten inte är enkel.
Rickard Lundin, säkerhetschef på Region Östergötland, säger att de har nolltolerans mot datintrång.
– Det är inte möjligt att på förhand veta vilken typ av information som kan behövas vid vård och behandling av en patient. Ofta resulterar patientens behov i att vårdprocessen sträcker sig över flera vårdenheter, varvid informationen behöver finnas tillgänglig för berörd vårdgivare.
I december förra året granskade Integritetsskyddsmyndighetens Region Östergötland och kom fram till att den behovs- och riskanalys som krävs för att kunna ge personalen rätt behörighet till personuppgifter i huvudjournalsystemen inte hade gjorts. Regionen fick ett vite på 2,5 miljoner kronor.
Hur ställer sig regionen till kritiken?
– Regionen står fortfarande bakom att rätt behörigheter har tilldelats personal, säger Rickard Lundin.
– Det är anmärkningsvärt att IMY påstår att ingen behovs- och riskanalys har gjorts alls, eftersom regionen har presenterat det underlag som finns.
Regionen har överklagat beslutet till Kammarrätten.