Kritik mot Region Halland för att ha lämnat ut personuppgifter till tredje land i strid med gällande lagstiftning m.m.

Region Halland lämnade inom ramen för ett utvecklingssamarbete med Brigham and Women’s Physicians Organization Inc. (BWPO), med säte i USA, i april 2016 ut uppgifter ur patientjournaler till BWPO. Uppgifterna lämnades ut utan patienternas namn och personnummer men med angivande av ett löpnummer för varje patient (pseudonymisering). Patienternas personnummer och löpnummer bevarades i en referensfil som inte lämnades ut till BWPO.

ChefsJO uttalar inledningsvis att uppgifter ur patientjournaler typiskt sett är information som är mycket känslig ur integritetssynpunkt och som inom hälso- och sjukvården skyddas genom dels bestämmelser om hur personuppgifter får behandlas, dels bestämmelser om sekretess och tystnadsplikt. ChefsJO framhåller vidare att utvecklingsarbete som utförs på vetenskaplig grund och innefattar behandling av känsliga personuppgifter kräver etikgodkännande, men har vid granskningen av dessa ärenden utgått från att det aktuella samarbetet enbart har innefattat annat kvalitets- och utvecklingsarbete.

I beslutet konstaterar chefsJO att de uppgifter som lämnades ut till BWPO inte var helt avidentifierade eftersom det med hjälp av referensfilen fortfarande var möjligt att identifiera enskilda individer. Uppgifterna var därmed att anse som personuppgifter. ChefsJO slår därefter fast att kraven i personuppgiftslagen för överföring av personuppgifter till tredje land inte var uppfyllda vid utlämnandet till BWPO. Regionen kritiseras för att ha lämnat ut personuppgifter i strid med då gällande lagstiftning.

När det gäller frågan om utlämnandets förenlighet med sekretesslagstiftningen konstaterar chefsJO att pseudonymisering i sig kan medföra att det saknas risk för att en enskild person ska lida skada eller men, och att uppgifterna därmed kan lämnas ut. Det är emellertid viktigt att en myndighet även vid utlämnande av uppgifter i pseudonymiserad form gör en noggrann sekretessprövning utifrån förhållandena i varje enskilt fall. I det här fallet fanns flera omständigheter som chefsJO anser borde ha manat till försiktighet, bl.a. att utlämnandet avsåg uppgifter som dels var av mycket integritetskänsligt slag, dels rent generellt kan underlätta identifiering av enskilda individer. I vilken utsträckning det faktiskt har varit möjligt att identifiera enskilda individer har inte kunnat klarläggas genom utredningen. Enligt chefsJO:s mening framstår det dock inte som osannolikt att s.k. bakvägsidentifikation i vissa fall skulle ha varit möjlig. ChefsJO konstaterar att utlämnandet inte tycks ha föregåtts av någon egentlig sekretessprövning hos regionen och är därför kritisk till hanteringen. Regionen kritiseras även för bristande dokumentation i ärendet.