Region Hovedstaden

Datatilsynet indledte af egen drift i 2021 en undersøgelse af Region Hovedstadens opfyldelse af oplysningspligten i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning. I den forbindelse fandt Datatilsynet, at Region Hovedstaden ikke havde givet de nødvendige oplysninger til de registrerede i en gennemsigtig og letforståelig form, hvilket gav tilsynet anledning til at udtale kritik. Derudover henstillede Datatilsynet til Region Hovedstaden, at regionen overvejer, hvordan den fremadrettet vil opfylde sin oplysningspligt over for patienter. I sin afgørelse lagde Datatilsynet bl.a. vægt på, at hvis man som dataansvarlig er bekendt med, at ens tjenester er tilgængelige for sårbare medlemmer af samfundet, skal denne sårbarhed indgå i den dataansvarliges vurdering af, hvordan man overholder kravet om gennemsigtighed i relation til de registrerede. Datatilsynet vender hermed tilbage til sagen, hvor tilsynet ved brev af 12. marts 2021 indledte en undersøgelse af Region Hovedstadens opfyldelse af oplysningspligten efter databeskyttelsesforordningens artikel 13 i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning. Efter en gennemgang af sagen finder Datatilsynet, at Region Hovedstaden – i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning – ikke har givet oplysningerne efter databeskyttelsesforordningens artikel 13 i en gennemsigtig og letforståelig form, jf. artikel 12, stk. 1, hvilket giver tilsynet anledning til at udtale Datatilsynet henstiller, at Region Hovedstaden overvejer, hvordan regionen fremadrettet vil opfylde sin oplysningspligt over for patienter. Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

Datatilsynets afgørelse kommer på baggrund af to sikkerhedsbrud, som var anmeldt af Sundhedsdatastyrelsen i august 2020 og juli 2021. I begge brud var en dataudvekslingsservice fra sundhedsplatformen – som Region Hovedstaden var dataansvarlig for – involveret. Datatilsynet har udtalt alvorlig kritik og udstedt et påbud samt en advarsel til Region Hovedstaden. Afgørelsen kommer på baggrund af to sikkerhedsbrud, som var anmeldt af Sundhedsdatastyrelsen i august 2020 og juli 2021. I begge brud var en dataudvekslingsservice fra sundhedsplatformen – som Region Hovedstaden var dataansvarlig for – involveret . I august 2020 påvirkede sikkerhedsbruddet 4.223 medicinordinationer for 2.310 patienter, og i juli 2021 påvirkede sikkerhedsbruddet 1.311 lægemiddelordinationer fordelt på 1.149 patienter fra Region Hovedstaden og Region Sjælland. Kodeændringer i ét system medførte utilsigtede ændringer i et andet Begge sikkerhedsbrud opstod, da kodeændringer i Sundhedsplatformen (SP), hvor Region Hovedstaden er dataansvarlig, medførte utilsigtede ændringer i det Fælles Medicin Kort (FMK), hvor Sundhedsdatastyrelsen er dataansvarlig. Sikkerhedsbruddene opstod på baggrund af, at integrationerne mellem FMK og SP muliggør, at en opdatering i SP kan påvirke integriteten af visningen af oplysninger i FMK.

Datatilsynet har gennemført et planlagt skriftligt tilsyn hos Region Hovedstaden med fokus på emnerne behandlingsgrundlag og dataansvar. I efteråret 2020 besluttede Datatilsynet at føre tilsyn med en række aktiviteter på forskningsområdet. Region Hovedstaden var blandt de myndigheder, Datatilsynet udvalgte til et skriftligt tilsyn. I forbindelse med tilsynet modtog Datatilsynet en fortegnelse over igangværende forskningsprojekter hos Region Hovedstaden samt regionens politikker, procedurer og retningslinjer vedrørende databeskyttelse. Datatilsynet udvalgte på den baggrund tre forskningsprojekter som genstand for undersøgelsen inden for emnerne ”behandlingsgrundlag” og ”ansvar og roller (dataansvar)”. Datatilsynet fandt ikke grundlag for at tilsidesætte Region Hovedstadens vurdering af grundlaget for behandlingen af personoplysninger i de tre projekter. Desuden konstaterede tilsynet, at der var indgået databehandleraftaler. Tilsynet udtalte imidlertid kritik af, at Region Hovedstaden i et af projekterne ikke havde ført et tilstrækkeligt tilsyn inden for rammerne af det tilsynsniveau, regionen havde fundet passende. Tilsynet fandt det endvidere kritisabelt, at regionen i et andet projekt ikke havde fulgt regionens egen model for fastsættelse af tilsynsniveau. Efter en gennemgang af sagen finder Datatilsynet, at behandlingen af personoplysninger i forbindelse med forskningsprojekterne kunne ske inden for rammerne af reglerne i databeskyttelsesforordningen Region Hovedstaden har indgået databehandleraftaler med databehandlerne for forskningsprojekterne, og disse er ikke senere opdateret. Dette giver ikke Datatilsynet anledning til bemærkninger. af, at Region Hovedstaden for så vidt angår databehandleren for 2. forskningsprojekt ikke har ført tilsyn inden for rammerne af det tilsynsniveau, som regionen havde fundet passende, samt at regionen for så vidt angår databehandleraftalen for 3.