Biträdande dataombudsman: brister i tillsynen över användningen av patientuppgifter i välfärdsområdet

Biträdande dataombudsmannen har utrett verksamheten i Norra Österbottens välfärdsområde i ett fall där välfärdsområdets anställda misstänks ha sett på enskilda arbetstagares patientuppgifter utan grundad anledning. Enligt utredningen hade välfärdsområdet brister i förebyggandet av snokande och övervakningen av användningen av patientuppgifter.

Dataombudsmannens byrå inledde en utredning på eget initiativ om tillsynen över välfärdsområdets användning av patientuppgifter 2023–2024 på grund av misstankar om snokande som kommit till kännedom. Tiotals misstankar hade kommit till dataombudsmannens byrås kännedom via allmänt tillgänglig information, kontakter från privatpersoner samt genom information som erhållits från välfärdsområdet och polisen. 

Av dataombudsmannens byrås utredning framgick att den ogrundade behandlingen av patientuppgifter delvis berodde på välfärdsområdets felaktiga verksamhetsmodeller och bristfälliga anvisningar för arbetstagarna. Även övervakningen av användningen av patientuppgifter hade varit otillräcklig. Enligt välfärdsområdet har det för en del av dess anställda varit oklart hur patientuppgifter ska behandlas enligt lag. Välfärdsområdet meddelade att det inlett utvecklingsåtgärder och lagt till anvisningar om behandlingen av personuppgifter. 

Biträdande dataombudsmannen påminner om att missbruk av personuppgifter kan förebyggas i organisationerna till exempel genom ändamålsenlig hantering av användarrättigheter och genom tillräcklig introduktion, utbildning och anvisningar för personalen. För att upptäcka avvikande behandling kan man använda automatisk övervakning. Organisationen är skyldig att bedöma vilka åtgärder som är tillräckliga. 

”Processerna ska vara i skick för att förhindra, upptäcka och ingripa i missbruk. Arbetsgivaren ska också genast vidta åtgärder om missbruk uppdagas. Patienten ska kunna lita på att hens uppgifter behandlas lagenligt och konfidentiellt inom hälso- och sjukvården”, konstaterar biträdande dataombudsman Annina Hautala.

Välfärdsområdet förordnades att korrigera bristerna i sin verksamhet. Dessutom fick området en anmärkning eftersom det inte hade vidtagit tillräckliga åtgärder för att säkerställa en säker och lagenlig behandling av personuppgifter. 

I biträdande dataombudsmannens beslut bedöms välfärdsområdets verksamhet som personuppgiftsansvarig, dvs. man tar inte ställning till brottsmisstankar mot enskilda personer eller utredningen av dem. Beslutet har inte ännu vunnit laga kraft och kan överklagas hos förvaltningsdomstolen.

Biträdande dataombudsmannens beslut TSV/14020/2025 i Finlex-tjänsten på finska

Mer information: 

Biträdande dataombudsman Annina Hautala, tfn 029 566 6776, annina.hautala(at)om.fi