Hälso- och sjukvårdsnämnden i region Örebro län har bland annat publicerat känsliga personuppgifter och fick böter (sanktionsavgift). Sanktionsavgiften uppgick till 120 000 kr. Maxbeloppet för en myndigheter är 10 miljoner kronor till skillnad från företag som kan få upp till 20 miljoner euro eller 4 % av årsomsättningen. IMY, som är en förkortning av Integritetsskyddsmyndigheten, hette vid tidpunkten för beslutet Datainspektionen men bytte namn under januari 2021. Det är tillsynsmyndigheten för ärenden inom GDPR och de granskar myndigheter, företag och organisationer som behandlar personuppgifter.
Publicerat känsliga personuppgifter och fick böter
Hälso- och sjukvårdsnämnden hade bland annat publicerat känsliga personuppgifter på en webbplats som är tillgänglig för allmänheten. Dessutom hade de inte haft rättslig grund, vilket är ett krav för behandlingen enligt GDPR. IMY kom fram till att behandlingen inte hade varit förenligt med principerna om ändamålsbegränsning och uppgiftsminimering.
IMY sa också att nämnden i Örebro behöver ha interna rutiner för att se till att personen med arbetsuppgift att publicera olika personuppgifter på en webbplats som allmänheten har tillgång till ska följa instruktionerna. Dessutom ska de interna rutinerna vara skriftliga.
