Umeå universitet har brutit mot dataskyddsförordningen GDPR när en forskargrupp hanterat känsliga personuppgifter konstaterar Datainspektionen i en granskning.
En forskargrupp vid universitetet begärde och fick ut förundersökningsprotokoll som rör våldtäkt mot män och som bland annat innehåller uppgifter som namn, personnummer och kontaktuppgifter men också känsliga uppgifter om sexualliv och hälsa.
Protokollen skannades in och lades hos den amerikanska molntjänsten Box 2018 trots att information om att känsliga personuppgifter inte bör lagras där har publicerats på universitets intranät i september 2016.
Dröjde tre år
Först 2019 togs uppgifterna bort därifrån. Datainspektionen konstaterar att det under tiden som protokollen låg hos Box var det tillåtet att överföra uppgifter till USA med stöd av Privacy Shield – något som ändrades först efter Schrems II-domen som kom i somras.
Däremot har informationen inte skyddats ordentligt i molntjänsten slår Datainspektionen fastoch pekar på att den som olovligt kommit över användarnamn och lösenord kunnat utge sig som behörig och ta del av uppgifterna i klartext.
– Molntjänsten och sättet som universitetet använder den på ger inte ett tillräckligt skydd för den här typen av personuppgifter, säger Linda Hamidi som lett Datainspektionens granskning, i en kommentar.
Dessutom har forskarna inte mindre än två gånger bifogat de inskannade protokollen i vanliga mejl som skickats till Polismyndigheten när man begärt kompletterande uppgifter. Redan första gången, 2017, påpekades det från Polisen det olämpliga i att skicka känsligt material i oskyddad e-post.
Samma misstag upprepades
Forskargruppen beklagade det inträffade och hänvisade till den mänskliga faktorn men två år senare upprepades samma sak.
– Dessa händelser visar att universitet inte har vidtagit de åtgärder som behövs för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.
Universitetet har heller inte anmält händelserna till Datainspektionen trots att det finns en sådan skyldighet enligt GDPR.
För dessa incidenter utfärdar nu Datainspektionen en administrativ sanktionsavgift på 550 000 kronor mot Umeå universitet.
Läs också:
Sju vårdgivare får GDPR-böter – inte gjort riskanalyser som krävs
Stora brister i Stockholms skolplattform – får GDPR-bot på fyra miljoner
