Miljonstraff för Medhelp efter 1177-läcka

helskärm

Företaget Medhelp ska betala tolv miljoner kronor i sanktionsavgift för att inspelade samtal till vårdguiden 1177 låg oskyddade på nätet.

– Det var bra att detta uppmärksammades, säger Björn Arkinger, affärsområdeschef på Medhelp.

Beslutet om straffavgiften har tagits av Integritetsskyddsmyndigheten (IMY), efter en granskning som inleddes med anledning av uppgifter i tidningen Computer Sweden 2019.

”Det har varit en komplicerad utredning”, säger Magnus Bergström, it-säkerhetsspecialist på myndigheten, enligt ett pressmeddelande.

Regionerna Stockholm, Sörmland och Värmland straffas också av IMY. Det var 1177-samtal från dessa regioner som Medhelp svarade på under den tid som granskats.

Till Thailand

Medhelp anlitade i sin tur ett företag i Thailand för hantering av samtal på nätter och helger. Inspelningar av dessa samtal blev sedan, av misstag, tillgängliga på en lagringsserver.

IMY anser att Medhelp och teknikföretaget som lagrade samtalen bär ansvaret för läckan. Teknikföretaget ska betala 650 000 kronor i sanktionsavgift, vilket beskrivs som mycket i förhållande till företagets storlek.

När det gäller Medhelp är IMY kritisk till att företaget lagt ut både vårduppdrag och behandling av personuppgifter till en aktör i Thailand, som inte omfattas av svenska sjukvårdslagar eller tystnadsplikt.

De tre berörda regionerna får också kritik för bristande information till de vårdsökande. Region Stockholm ska betala en halv miljon kronor i sanktionsavgift, de två andra 250 000 kronor vardera.

Beslut i samråd

Medhelp framhåller att beslutet att anlita ett thailändskt företag, med svenska sjuksköterskor, togs i samråd med Region Stockholm.

1177-samtal från Stockholm går fortfarande till Medhelp – men samarbetet med ett företag i Thailand har avbrutits.

– Det gjorde vi omedelbart, direkt när incidenten uppdagades, säger Björn Arkinger, affärsområdeschef på Medhelp.

Alla krav på åtgärder och förändrat arbetssätt som IMY nu framför genomförde Medhelp redan 2019, enligt företaget. Björn Arkinger pekar också på att företaget nu har ett ledningssystem för informationssäkerhet.

– Det har varit ett viktigt, stort steg, säger han.

Efter avslöjandet i Computer Sweden blev tidningen polisanmäld av Medhelp för bland annat dataintrång. Men en åklagare lade ner utredningen, eftersom tidningens syfte varit att belysa missförhållanden i offentlig verksamhet.