Ett barns orosanmälningar skickades till obehörig i en annan kommun

Det rekommenderade brevet kvitterades ut i slutet av augusti, i en annan kommun än Vaggeryd. Avsändare var socialförvaltningen i Vaggeryds kommun. Mottagaren, Oskar Neuman, hade i samband med en pågående granskning av kommunens hantering av personuppgifter begärt ut sina egna uppgifter enligt dataskyddsförordningen, GDPR, och det var svaret i det ärendet han väntade på.

Men innehållet i kuvertet var inte hans. Där låg i stället en annan persons handlingar: beslut och svar i ett annat insynsärende, tillsammans med bilagor ur socialtjänstens akter. Bland bilagorna fanns uppgifter om äldre orosanmälningar och utredningsmaterial som rör ett barn, den typ av handlingar som hör till det starkast sekretesskyddade en kommun hanterar. Sekretesshandlingarna nådde alltså inte bara fel person, de lämnade den kommun där de hörde hemma. Kuvertet, adressetiketten och mottagningsbeviset finns dokumenterade.

Socialtjänstens sekretess finns till för att skydda enskilda, allra mest barnen. Uppgifter i orosanmälningar och barnavårdsärenden kan röra hälsa, familjeförhållanden och utsatthet. Hamnar de hos fel person går spridningen inte att ta tillbaka. I ett annat läge kunde felet ha fått direkta konsekvenser: handlingar av det här slaget kan röra familjer med skyddade uppgifter, pågående vårdnadskonflikter eller barn i miljöer där information i fel händer innebär en konkret risk.

Misstag av det här slaget riskerar också att skada förtroendet i bredare mening. Både den som överväger att göra en orosanmälan och den familj som lämnar uppgifter till socialtjänsten måste kunna lita på att materialet stannar där det ska. Om den tilliten rubbas kan uppgifter som borde nå socialtjänsten utebli nästa gång.

När en myndighet skickar sekretesshandlingar till fel mottagare är det enligt dataskyddsförordningen en personuppgiftsincident. Sådana ska dokumenteras och innebär händelsen en risk för de berörda ska den anmälas till Integritetsskyddsmyndigheten inom 72 timmar. Att röja sekretessbelagda uppgifter kan dessutom vara straffbart som brott mot tystnadsplikt.

Oskar Neuman har återlämnat originalhandlingarna till kommunen och samtidigt begärt att socialnämnden registrerar händelsen som en personuppgiftsincident, med besked om vilka åtgärder som vidtas och om de berörda informeras.

När den här artikeln skrevs hade kommunen inte bekräftat händelsen eller redovisat hur adressfelet kunde ske. Vaggeryds kommun kommer att sökas under dagen för en kommentar på det inträffade.

En personuppgiftsincident är en säkerhetsincident där personuppgifter förstörs, ändras eller röjs till någon obehörig, till exempel post som når fel mottagare. Innebär händelsen en risk för de registrerade ska myndigheten anmäla den till Integritetsskyddsmyndigheten inom 72 timmar. Vid hög risk ska även de vars uppgifter röjts informeras utan onödigt dröjsmål.

Uppgifter hos socialtjänsten om enskildas personliga förhållanden skyddas dessutom av offentlighets- och sekretesslagen. Att röja dem kan vara straffbart som brott mot tystnadsplikt.