Barns sekretessuppgifter publicerades av misstag i Piteå

Piteå kommun har anmält en personuppgiftsincident efter att sekretessbelagda uppgifter om en tonåring publicerats på kommunens webbplats. Informationen var tillgänglig för allmänheten under 17 timmar innan kommunen uppmärksammades på publiceringen och tog bort materialet.

Uppgifterna fanns i ett protokoll från ett sammanträde med kommunens socialnämnd. Nämnden hade beslutat att ansöka om att en särskilt förordnad vårdnadshavare skulle utses för tonåringen. När sammanträdesprotokollet lades ut på webbplatsen publicerades även ärendet med information om barnets personliga förhållanden.

En utomstående person upptäckte publiceringen och kontaktade kommunen. Socialtjänstens it-strateg har uppgett att de skyddade uppgifterna hade då varit offentligt tillgängliga i 17 timmar.

Socialchef Eva Börjesson Öman har beklagat händelsen och framhållit att kommunen har förståelse för den oro som publiceringen kan orsaka hos berörda personer.

Kommunen har anmält händelsen till Integritetsskyddsmyndigheten, IMY, som en personuppgiftsincident enligt EU:s dataskyddsförordning, GDPR. Händelsen ska även anmälas enligt lex Sarah.

Enligt Integritetsskyddsmyndigheten ska personuppgiftsansvariga organisationer normalt rapportera en incident inom 72 timmar från upptäckten, om det inte är osannolikt att den innebär en risk för enskildas rättigheter och friheter. En anmälan får kompletteras i efterhand om alla omständigheter ännu inte har klarlagts.

Integritetsskyddsmyndigheten anger också att berörda personer ska informeras utan onödigt dröjsmål om en personuppgiftsincident sannolikt medför en hög risk för deras rättigheter och friheter. Efter en anmälan kan myndigheten begära ytterligare uppgifter eller inleda tillsyn.

Den planerade lex Sarah-anmälan omfattas av särskilda bestämmelser för socialtjänsten. Inspektionen för vård och omsorg, IVO, anger att rapporterade missförhållanden och påtagliga risker för missförhållanden ska utredas och dokumenteras utan dröjsmål. Allvarliga missförhållanden ska anmälas till myndigheten, som granskar verksamhetens hantering och vid behov kan genomföra ytterligare tillsyn.

Socialstyrelsen framhåller att uppgifter om enskildas personliga förhållanden inom socialtjänsten måste sekretessprövas innan de lämnas ut. Handlingar med sådana uppgifter ska dessutom hanteras och förvaras så att obehöriga inte får tillgång till informationen.

Piteå kommun beskriver i sin information om offentlighetsprincipen att sekretess bland annat ska skydda personer som förekommer i socialtjänstärenden. Offentlighets- och sekretesslagen reglerar vilka uppgifter som inte får lämnas ut, även när en handling i övrigt är offentlig.

För uppgifter om minderåriga finns särskilda sekretessbestämmelser. Sveriges riksdag anger i 12 kap. 3 § offentlighets- och sekretesslagen att sekretess under vissa förutsättningar även kan gälla gentemot barnets vårdnadshavare. Det gäller bland annat om barnet kan antas lida betydande men av ett utlämnande.

Ärendet som publicerades av misstag gällde en ansökan om särskilt förordnad vårdnadshavare. Domstolsverket anger att det är tingsrätten som fattar beslut om att utse en sådan vårdnadshavare, medan socialnämnden i barnets hemkommun som huvudregel ansvarar för att lämna in ansökan. Socialnämndens beslut i Piteå innebär därmed inte att en ny vårdnadshavare redan har utsetts.

En särskilt förordnad vårdnadshavare kan enligt Domstolsverket utses när föräldrarna har avlidit, inte kan fullgöra vårdnadsansvaret eller bedöms olämpliga. Bestämmelserna kan även omfatta barn som kommit till Sverige utan sina föräldrar. Det är inte fastställt vilken omständighet som ligger bakom tonåringens aktuella ärende.

Piteå kommuns socialtjänst har tidigare rapporterat andra brister i hanteringen av barn- och familjeärenden. Den 3 juni 2022 meddelade kommunen att bristande rutiner hade anmälts till Inspektionen för vård och omsorg.

Socialchef Eva Börjesson Öman uppgav vid det tillfället att bristerna gällde bedömningar och informationsöverföring mellan tjänstepersoner. Kommunen meddelade även att interna åtgärder hade genomförts och att rutinerna granskades. Det ärendet var separat och hade ingen fastställd koppling till den nu aktuella publiceringen.

Integritetsskyddsmyndigheten har fått kommunens anmälan om publiceringen, medan en lex Sarah-anmälan också ska göras.

Har den här konversationen varit till hjälp hittills?