Region Midtjylland idømt en bøde på 300.000 kr. for brud på GDPR

Region Midtjylland er ved Retten i Horsens blevet idømt en bøde på 300.000 kr. for ikke at have sikret et tilstrækkeligt beskyttelsesniveau for opbevaring af 100.000 fysiske patientjournaler i et arkiv på et af Regionens livsstilscentre. Datatilsynet havde indstillet til en højere bødestraf.

Region Midtjylland er blevet tildelt en bøde på 300.000 kr. for ikke at have beskyttet omkring 100.000 patientjournaler tilstrækkeligt ved at have givet medarbejdere og andre patienter adgang til et arkiv, hvor journalerne var opbevaret.

Medarbejdere og patienters nøglekort gav adgang til arkivet
Sagen startede tilbage i juni 2020 da Region Midtjylland anmeldte et brud på persondatasikkerheden til Datatilsynet.

Anmeldelsen drejede sig konkret om, at alle patienter og medarbejdere i et livsstilscenter i Regionen i årene 2016-2020 ved en fejl havde haft adgang til et arkiv, hvor der blev opbevaret omkring 100.000 fysiske patientjournaler. Fejlen skyldtes, at alle medarbejdere og patienters nøglebrikker ved en fejl gav adgang til bygningen med arkivet.

På baggrund af fejlen havde medarbejderne og patienterne på livstilscenteret derfor adgang til omkring 100.000 borgeres patientjournaler indeholdende CPR-nummer og helbredsoplysninger.

Herudover kunne forbipasserende se patientjournalernes omslag med navn og CPR-nummer gennem et vindue til bygningen med arkivet.

Datatilsynet indstillede Regionen til en bøde på 400.000 kr.
Datatilsynet fandt, at Region Midtjylland ikke havde etableret passende sikkerhedsforanstaltninger omkring opbevaringen af de fysiske patentjournaler og indstillede Regionen til en bøde på 400.000 kr.

Datatilsynets begrundelse for indstillingen var, at Region Midtjylland behandler store mængder af særlige kategorier af oplysninger, herunder helbredsoplysninger, og at Regionen dermed er underlagt en skærpet forpligtelse til at beskytte personoplysninger. Ifølge Datatilsynet var der derfor tale om en alvorlig fejl, som burde have været opdaget tidligere.

Retten i Horsens dom
Retten i Horsens tildelte Region Midtjylland en bøde på 300.000 kr. for deres utilstrækkelige beskyttelse og opbevaring af patientjournalerne. Retten fandt, at det var en formildende omstændighed, at der alene var tale om en potentiel mulighed for uberettiget adgang til arkivet og patientjournalerne.

Dansk Erhvervs kommentar
Det bemærkes, at der ved bøder til det offentlige gælder en anden og lavere bødeudmåling end til private virksomheder.

For overtrædelser af af forordningens grundlæggende behandlingsregler – som nærværende sag er udtryk for - forudsættes et bødeloft på 4 % af driftsbevillingen, dog maksimalt 16 mio. Kroner. En bødeindstilling på 400.000,- kr synes dog henset til sagens karakter til den lave side.