Region Midtjylland

Datatilsynet vurderer, at Region Midtjylland ikke havde etableret passende adgangsbegrænsning til et arkiv i et livstilscenter. Datatilsynet har politianmeldt Region Midtjylland for ikke at sikre et tilstrækkeligt højt sikkerhedsniveau omkring regionens opbevaring af patientjournaler i et arkiv i Livstilscenter Brædstrup. Datatilsynet har indstillet til en bøde på 400.000 kr. Datatilsynet modtog den 12. juni 2020 en anmeldelse af et brud på persondatasikkerheden fra Region Midtjylland. Af anmeldelsen fremgik, at alle patienter og medarbejdere i et livstilscenter havde haft adgang til en bygning, hvor der blev opbevaret op mod 100.000 fysiske patientjournaler indeholdende bl.a. helbredsoplysninger og oplysninger om personnummer. Herudover var det muligt for forbipasserende at se omslaget på nogle af journalerne – hvor personnummer, navn og speciale fremgik – igennem et vindue til bygningen. Den utilsigtede adgang skyldtes, at de nøglekort, som medarbejdere og patienter fik udleveret, gav adgang til alle tre bygninger i Livstilscenter Brædstrup, uanset om brugeren havde et behov herfor. Herudover var vinduerne til bygningen ikke matterede eller lignende. Datatilsynet fandt i den forbindelse, at Region Midtjylland ikke havde etableret passende sikkerhedsforanstaltninger omkring opbevaringen af personoplysningerne. I forbindelse med sagens behandling hos Datatilsynet oplyste Region Midtjylland, at den utilsigtede adgang havde stået på siden arkivets flytning til livstilscentret i 2016, og at regionen ikke har udført periodisk kontrol af de fysiske sikkerhedsforanstaltninger i perioden. Ved anmeldelsen af bruddet havde Region Midtjylland oplyst, at regionen havde retningslinjer for, hvem der gives adgang til hvilke lokaler på hospitalet, der drev Livstilscenter Brædstrup.