Sanktionsavgift efter Datainspektionens granskning

Region Västerbotten har nåtts av informationen om att Datainspektionen beslutat om att regionen måste betala en sanktionsavgift på grund av brister i behörighetstilldelningen i journalsystemet NCS Cross.

– Vi har tagit del av Datainspektionens underlag och ska nu titta närmare på beslutet och vilka åtgärder vi behöver göra för att uppfylla deras krav. Vi måste bland annat titta på hur vi kan förbättra tilldelningen av behörigheter men också hur behovs- och riskanalyser dokumenteras, säger Brita Winsa, hälso- och sjukvårdsdirektör i Region Västerbotten.

Datainspektionen beslutar att hälso- och sjukvårdsnämnden ska betala en administrativ sanktionsavgift på 2 500 000 kronor. Beslutet baseras på Datainspektionens utredning som kommit fram till att Region Västerbotten:

• Har inte genomfört behovs- och riskanalys innan tilldelning av behörigheter i journalsystemet NCS Cross. Lämpliga organisatoriska åtgärder har därmed inte vidtagits för att kunna säkerställa och kunna visa att behandlingen av personuppgifterna har en säkerhet som är lämplig i förhållande till riskerna.
• Har inte begränsat användarnas behörigheter för åtkomst till journalsystemet NCS Cross till vad som enbart behövs för att användaren ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Åtgärder har inte vidtagits för att kunna säkerställa och kunna visa en lämplig säkerhet för personuppgifterna.

– Detta betyder att de justeringar vi tidigare gjort i behörigheterna för personal i vårt nuvarande journalsystem NCS Cross inte uppfyller kraven från Datainspektionen och att den risk- och konsekvensanalys vi gjort inte genomförts på förväntat sätt, förtydligar Brita Winsa.

Behörighet och åtkomst

Även 2015 påtalade Datainspektionen Region Västerbottens vissa brister i behörighetstilldelningen i journalsystemet.

– Sedan dess har vi utvecklat och sett över behörigheterna och tagit fram en mall kring risker och behov. Behörigheterna görs på rollnivå och inte individnivå i Västerbotten. Vi gjorde en mer detaljerad tilldelning sedan 2015 men det har enligt Datainspektionen inte räckt hela vägen, säger Ragnberth Helleday, objektägare vårdsystem inom Region Västerbotten.

Mer information
Ragnberth Helleday
Överläkare och objektägare NCS Cross
Region Västerbotten
070-587 87 61

Brita Winsa
Hälso- och sjukvårdsdirektör
Region Västerbotten
070-352 47 16

Presskontakt
Gabriella Bandling
Kommunikationsstaben
Region Västerbotten
073-049 46 53