Förvaltningsrätten i Stockholm ändrade den 10 juni 2022 Integritetsskyddsmyndighetens beslut om att MedHelp AB ska betala sanktionsavgifter om 12 miljoner för överträdelse av dataskyddsförordningen. Skälet för beslutet var bland annat bolagets överföring av personuppgifter till det thailändska bolaget MediCall (Sweden) Co, som behandlat personuppgifter i samband med sjukrådsupplysning via 1177 som utförts på uppdrag av MedHelp. Förvaltningsrätten upphävde beslutet och återförvisade det i en del till IMY. I övriga delar ändrade förvaltningsrätten beslutet på så sätt att de utfärdade sanktionsavgifterna sattes ned.
Förvaltningsrätten fann, till skillnad från IMY, att MedHelp haft rätt att överföra personuppgifter till MediCall och låta bolaget behandla personuppgifter i samband med den sjukvårdsupplysning som bolaget utförde på uppdrag från MedHelp. I korthet var grunden att MediCall varit att anse som vårdgivare vars personal omfattats av tystnadsplikt för svensk hälso- och sjukvård samt de avtal som MedHelp träffat med de berörda regionerna. Mot bakgrund av detta upphävde förvaltningsrätten IMY:s beslut i denna del. Förvaltningsrätten konstaterade dock att överlämnandet av personuppgifter till MediCall inneburit att personuppgifterna överförts till tredjeland. Eftersom IMY inte prövat huruvida den aktuella överföringen uppfyllt kraven vid tredjelandsöverföring återförvisade förvaltningsrätten målet i denna del till IMY för förnyad prövning.
I likhet med IMY fann förvaltningsrätten att MedHelp brustit i sin skyldighet att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att säkerställa en lämplig säkerhetsnivå, inte uppfyllt sin informationsskyldighet gentemot de registrerade samt inte vidtagit lämpliga tekniska säkerhetsåtgärder för att säkerställa förmågan att återställa tillgänglighet och tillgång till personuppgifter vid en incident. Vidare fann förvaltningsrätten, i likhet med IMY, att det fanns skäl att påföra sanktionsavgift för överträdelserna. Med hänsyn till att MedHelp efter incidenten vidtagit åtgärder för att förhindra ytterligare skada och förebygga framtida incidenter, vilka i vissa fall varit mer långtgående än vad som krävts enligt lagstiftning, fann dock förvaltningsrätten att det fanns skäl att sätta ned sanktionsavgiften. Sammantaget bestämdes den sammanlagda sanktionsavgiften i stället till 8 800 000 kr.
Kontakta oss gärna om ni är intresserade av att ta del av en mer utförlig sammanfattning eller domen i sin helhet!