Myndighetskontroll avslöjade exceptionell dataskyddskränkning
En HUS-anställd misstänks för allvarlig dataskyddskränkning. Personens anställningsförhållande har hävts och HUS har lämnat in en brottsanmälan till polisen. Föremålen för dataskyddskränkningen informeras per brev.
En utredning som gjorts i myndighetssamarbete har visat att en reskontrahandläggare som haft hand om HUS kundfakturering har gjort ogrundade sökningar i befolkningsdatasystemet och i HUS patientdatasystem.
Den ifrågavarande arbetstagaren har sett på personernas bas- och familjeuppgifter i befolkningsdatasystemet. I patientdatasystemet har personen sett på personuppgifter och i vissa fall även på information om besök på HUS. I patientdatasystemet kan personen ha sett en förteckning över eventuella besök och behandlingsperioder inklusive datum, men hen har inte haft tillgång till anteckningar i patientjournaler, undersökningsresultat eller motsvarande vårddata. Dataskyddskränkningarna har inträffat under den ifrågavarande personens arbetstid mellan oktober 2019 och mars 2023.
”Den olovliga läsningen har drabbat personer som vårdats vid HUS samt personal, men även personer som inte har någon koppling till HUS. En del av personerna bor i Nyland, en del på annat håll i Finland. Utredningen pågår fortfarande, men i det här skedet vet vi redan att den olovliga läsningen gäller hundratals personers uppgifter. Det handlar om en exceptionell och allvarlig händelse,” berättar HUS förvaltningsdirektör, stf. Suvi Posio.
Föremålen för kränkningen av informationssäkerheten informeras per brev
Den berörda arbetstagarens databehandlingshändelser under tre och ett halvt år granskas och det utreds vilka av dem som hänför sig till personens arbete och vilka som är ogrundade. Genomgången av data kommer att räcka länge.
”Den berörda arbetstagarens användarrättigheter har varit nödvändiga för arbetet, men hen har missbrukat sina rättigheter. Vi beklagar det skedde och är oerhört besvikna över vår arbetstagares handlande,” säger Posio.
I alla de fall där olovlig läsning av information upptäcks, ska den berörda personen informeras per brev. HUS har lämnat in en brottsanmälan till polisen, men brevets mottagare kan också själva lämna in en brottsanmälan. De första breven är redan skickade och fler brev postas stegvis allteftersom utredningarna framskrider.
Då kränkningen uppdagades passiverades den berörda personens användarrättigheter omedelbart, hen fråntogs arbetsredskapen och hens anställning upphörde. HUS har gjort en anmälan till dataombudsmannens byrå.
”Utöver att vi fortsätter våra egna utredningar, stöder vi myndigheterna i deras utredningsarbete,” berättar Posio.
Personer som utsatts för dataskyddskränkning kan begära ytterligare information eller lämna en kontaktbegäran via patientresponssystemet på följande sätt:
- Välj öppen respons
- Skriv in Informationssäkerhetstjänster (8042014A) i sökfältet