Medhelp AB, som bedriver sjukvårdsrådgivning på 1177 för regionens räkning, anlitade tidigare ett thailändskt bolag, med personal i Thailand, dit samtal kopplades på nätter och kvällar.
Men enligt en dom i Kammarrätten strider det mot svensk lag.
– Den svenska hälso- och sjukvårdslagstiftningen omfattar inte sjukvårdsrådgivning som lämnas av ett thailändskt vårdföretag, säger kammarrättsrådet Ann-Jeanette Eriksson.
Personuppgifter
Och det är Medhelp som ansvarar för hur 1177-patienternas personuppgifter hanteras. Företaget krävs nu på 11 miljoner kronor i sanktionsavgifter för den felaktiga hanteringen.
Det var 2019 som tidningen Computer Sweden avslöjade att 2,7 miljoner inspelade samtal till 1177 legat oskyddade på internet, på grund av misstag av den underleverantör som Medhelp och det thailändska bolaget anlitat.
Integritetsmyndigheten, IMY, (dåvarande Datainspektionen) beslutade då om sanktionsavgifter.
Höjer
Beslutet överklagades till förvaltningsrätten, som fastställde avgiften till 8,8 miljoner kronor.
Kammarrätten höjer nu avgiften till 11 miljoner kronor.
– Förvaltningsrätten tyckte inte att det var fel att koppla samtalen till Thailand, men det anser vi, och därför höjs avgiften, säger Ann-Jeanette Eriksson.
Regionen vill köpa 1177-bolaget Medhelp
Region Stockholm vill köpa Medhelp, det bolag som bedriver sjukvårdsrådgivning via 1177. Det har fått förra finansregionrådet Irene Svenonius (M) att gå i taket.
– Varför köpa ett privat bolag för flera hundra miljoner kronor, samtidigt som det görs omfattande nedskärningar i vård och kollektivtrafik? frågade hon vid regionfullmäktiges senaste sammanträde.
Pengarna kan användas bättre, anser hon, och sedan är ju inte driften gratis, vare sig man äger eller köper tjänsten:
– Det finns inget mervärde i att äga Medhelp, tvärt om tvingas regionen låna till köpet med räntekostnader på 10-20 miljoner kronor om året som följd, säger Irene Svenonius.
Får inte ta över
Att Region Stockholm vill "ta hem" och driva sjukvårdsrådgivningen på telefon i egen regi har stått klart sedan valet 2022.
Frågan har nu utretts, och två alternativ har tagits fram: Starta en ny egen rådgivning från grunden eller ta över befintlig verksamhet.
Det första alternativet tar tid och blir dyrt. Och det andra går inte heller: Förvaltningen skriver att det saknas förutsättningar att genomföra en verksamhetsövergång i det förslag som lagts fram i primärvårdsnämnden.
Då återstår bara att köpa bolaget, enligt styret den mest konstnadseffektiva lösningen.
– Summan för köpet är inte offentlig, men de siffror som du nämner är inte de jag har hört, sade Christine Lorne (C) som svar på Irene Svenonius kritik.
Ökad styrning
Att ta över sjukvårdsrådgivningen gör att regionen bättre kan styra över den. Det ska också minska hänvisningarna till akuten, enligt Lorne, och kunna ge synergieffekter med dirigering och prioritering av ambulanser och läkarbilar.
Dessutom har sjuksköterskorna i rådgivningen tillgång till patientjournaler om den sker i egen regi.
1,5 miljoner samtal
Medhelp sjukvårdsrådgivning AB har anlitats av Region Stockholm sedan 2001.
2022 hade rådgivningen1,5 miljoner samtal.
Kostnaderna för regionen var 175 miljoner kronor år 2022.
Region Stockholm är den enda regionen i Sverige som inte har telefonrådgivning i egen regi.
Efter förvärvet ska Stockholms Läns sjukvårdsområde, SLSO, ansvara för rådgivningen.
Källa: Region Stockholm
Slöseri med pengar, anser Irene Svenonius (M) om att regionens mittenstyre tänker köpa Medhelp.
Stefan Källstigen/Medhelp
Regionen vill köpa 1177-bolaget Medhelp – Svenonius rasar
DI om 1177-skandalen: Det är allvarligt
2,7 miljoner patientsamtal låg öppet på internet – nu har Medhelp anmält händelsen till Datainspektionen.
Datainspektionen har tagit emot en anmälan från företaget Medhelp, det företag som för landstingets räkning bedriver sjukvårdsrådgivning via 1177 Vårdguiden.
– Vi kartlägger nu vilken eller vilka aktörer som vi ska inleda en tillsyn mot, säger Katarina Tullstedt, avdelningschef vid Datainspektionen.
Det var i måndags som Computer Sweden avslöjade att 2,7 miljoner personer som ringt sjukvårdsrådgivningen haft sina inspelade samtal tillgängliga på internet. Tidningen kunde ta sig in i den server där samtal lagrats sedan 2013.
Medhelp, som bedriver sjukvårdsrådgivning på uppdrag av Region Stockholm, anlitar företaget Voice Integrate för sina teleoperatörstjänster. Voice Integrate har av misstag anslutit servern till internet.
– Det är allvarligt. Jag har aldrig varit med om något liknande tidigare, säger Katarina Tullstedt.
GDPR och patientdatalagen
Frågan är nu inte bara vem som bär det yttersta ansvaret, utan även vilken lagstiftning som man kan ha brutit mot.
En grundläggande princip i dataskyddsförordningen (GDPR) är att den som registreras ska få veta det, och att det ska vara tydligt vem som lagrar och ansvarar för uppgifterna, förklarar hon.
Och enligt patientdatalagen ska vårdgivare se till att åtkomsten av patientdata dokumenteras och att man systematiskt kontrollerar att ingen obehörig kommer åt uppgifterna.
55 filer med samtal har öppnats
Medhelps utredning visar att av alla inspelade samtal är det 55 som laddats ner, från sju olika ip-adresser. Nio av samtalen kunde identifieras med telefonnummer eller personnummer.
”Kontakt är etablerad med såväl Datainspektionen som Polismyndigheten och MedHelp kommer att uppdatera bägge myndigheterna löpande med eventuell ny information som framkommer” skriver de på sin hemsida.
Datainspektionens granskning kommer att utmynna i tillsynsbeslut, som kan innehålla kritik, förelägganden om att vidta åtgärder och även förbud mot att behandla vissa personuppgifter. Det kan även bli fråga om sanktionsavgifter.
Medhelp har nu sagt upp avtalet med Voice Integrate. Region Stockholm slöt förra året ett nytt avtal med Medhelp där sjukvårdsrådgivningen ska ske från Sverige.
– Bristerna i it-säkerheten som uppstått och att vi ställt krav på att sjukvårdsrådgivningen enbart ska få utföras i Sverige är två helt olika saker, säger Lena Furmark, avdelningschef för digital hälsa och vård.
Ett syfte med utföra sjukvårdsrådgivning enbart i Sverige är enligt henne för att enklare kunna införa nya och förbättrade tjänster.
Tar över teletekniken
Medhelp ska heller inte stå för teleoperatörstjänsterna.
Mycket talar nu för att regionen ansluter sig till Inera, som tillhandahåller teleoperatörstjänster för övriga regioner och landsting som ingår i 1177 Vårdguiden.
Har aldrig varit med om något liknande - Katarina Tullstedt -
Det är två helt olika saker - Lena Furmark -
Detta har hänt i 1177 Vårdguiden-skandalen
2000: Dåvarande Stockholms läns landsting lade ut sjukvårdsrådgivningen på 1177 Vårdguiden på entreprenad till Medhelp, både själva rådgivningen och tekniska lösningar.
2013: Medhelp anlitar en underentreprenör, Medicall, som har sitt säte i Thailand. Sjuksköterskor flygs dit från Sverige och tar framför allt de samtal som kommer in på obekväm arbetstid. Medhelp anlitar företaget Voice Integrate för teleoperatörstjänster, som även används av Medicall.
2018: Region Stockholm gör en ny upphandling, som även denna gång går till Medhelp. Men nu förs en ny klausul in i avtalet. Tjänsterna ska utföras i Sverige, då man inte är säkra på att det är förenligt med datalagstiftningen att patientuppgifter hanteras på dataskärmar av personal utomlands. Regionen bestämmer också att avtalet inte ska omfatta de teletekniska tjänsterna. Det nya avtalet börjar gälla i september 2019. Det gamla avtalet med Medhelp förlängs tills det nya träder i kraft, trots osäkerhet kring tolkningen av datalagstiftningen.
18 februari 2019: Tidningen Computer Sweden avslöjar att patientsamtal ligger tillgängliga på internet sedan 2013, totalt 2,7 miljoner filer. Det är landstingen i Sörmland, Värmland och Stockholm, som alla anlitar Medhelp, som drabbats. Voice Integrate stänger ner servern där samtalen lagrats.
19 februari 2019: Ansvarig regionpolitiker Daniel Forslund säger till Mitt i att han är "arg och besviken" och inte utesluter en polisanmälan. Voice Integrate uppger att de 2,7 samtalen legat på en extern server som av misstag kopplats upp mot internet.
20 februari 2019: Medhelp säger upp avtalet med Voice Integrate, och anmäler händelsen till Datainspektionen. Medhelp anmäler även Computer Sweden för misstänkt dataintrång och obehörigt röjande av personuppgifter.