Genom att tilldela varje användare behörighet för åtkomst till personuppgifter utan att genomföra behovs- och riskanalyser har de fem sjukhusen behandlat personuppgifter i strid med dataskyddsförordningen (GDPR). Det anser IMY efter genomförd tillsyn.

Förvaltningsrätten finner att sjukhusen överträtt GDPR och att IMY därmed haft fog för att ingripa dels genom en administrativ sanktionsavgift, dels ett föreläggande. Förvaltningsrätten bedömer att sjukhusens underlåtenhet att genomföra behovs- och riskanalyser innebär inte bara en överträdelse av nationella bestämmelser utan också av de grundläggande principerna för personuppgiftsbehandling i GDPR.

– Det har i samtliga fall varit fråga om stora uppgiftssamlingar som varit tillgängliga för ett stort antal anställda och det rör sig dessutom om känsliga personuppgifter om enskildas hälsotillstånd, säger chefsrådmannen Anna Önell.

Sahlgrenska Universitetssjukhuset, Capio S:t Görans sjukhus, Karolinska Universitetssjukhuset, Region Östergötland samt Region Västerbotten har alla fått sanktionsavgifter på miljonbelopp. Störst sanktionsbelopp fick Capio S:t Görans sjukhus, på 10 miljoner kronor.