Kommunen gör en lex Sarah anmälan

Kungsbacka kommun gör en anmälan enligt lex Sarah till Inspektionen för vård och omsorg. Anmälan gäller uppgifter i en statistikdatabas som har koppling till verksamhetssystemet för individärenden, Combine. Orsaken är att behörighetstilldelningen inte har gjorts strukturerat, och att de som tilldelats behörighet har fått för bred åtkomst till uppgifter i statistikdatabasen.

Beskrivning av händelsen

Upptäckten gjordes i början av mars och berör förvaltningarna Individ & Familjeomsorg, Vård & Omsorg och Gymnasium & Arbetsmarknad.

Statistikdatabasen innehåller stora mängder sekretessbelagda uppgifter från samtliga tre socialnämnder. Behörigheten till denna omfattande mängd sekretessbelagda uppgifter ska vara begränsad, men vid kontroll av behörigheter till statistikdatabasen har det visat sig att 21 användarkonton har haft för bred tillgång till sekretessbelagda data.

Bristerna rättas nu till

Bedömningen är att bristerna kopplat till sekretessgränserna är allvarliga utifrån ett rättsperspektiv och socialtjänstens skyldighet att hantera och förvara uppgifter om personliga förhållanden så att obehöriga inte får tillgång till dem.

- Det finns i och för sig ingen misstanke om obehörig åtkomst av uppgifterna, men det faktum att möjligheten har funnits bedömer vi som allvarlig. Nu vidtas åtgärder för att det inte ska kunna ske igen genom att göra individuella tilldelningar av behörigheter, säger Karin Martinsson, förvaltningschef Individ & Familjeomsorg

Konsekvenser för drabbade individer

I dagsläget har inte Kungsbacka kommun fått in information om, eller känner till att någon individ har drabbats av händelsen, men möjliga konsekvenser för de drabbade individerna är integritetskränkningar av olika grad.

Planerade och vidtagna åtgärder

Det har tidigare gjorts en anmälan till Integritetsskyddsmyndigheten, IMY (fd Datainspektionen), till vilka kommunen är anmälningspliktiga vid personuppgiftsincidenter. Ansvariga utredare bedömer alltså nu att hanteringen av behörighetsstyrning och behörighetstilldelning för statistikdatabasen är ett allvarligt missförhållande och kommer därför att anmälas till Inspektionen för vård och omsorg (IVO), genom en lex Sarah anmälan.

Utöver det vidtar kommunen nu åtgärder för behörighetstilldelning i statistikdatabasen så att bara de uppgifter som krävs för uppdraget ingår i tilldelningen.

- Det innebär att medarbetare tilldelas en individuellt anpassad behörighet utifrån de uppgifter som krävs för att kunna utföra sitt arbete, säger Sanna Heikkinen, Socialt ansvarig samordnare Individ & Familjeomsorg

Lex Sarah

All personal inom socialtjänst är enligt lex Sarah skyldig att rapportera varje missförhållande eller påtaglig risk för missförhållande som sker i verksamheten. Alla rapporter som inkommer ska utredas. Allvarliga missförhållanden eller påtaglig risk för allvarliga missförhållanden ska anmälas till Inspektionen för vård och omsorg, IVO. Med allvarliga missförhållanden avses händelser eller underlåtelser som innebär eller inneburit hot mot eller medfört konsekvenser för den enskildes liv, säkerhet eller fysiska eller psykiska hälsa.