Skåne. Förra sommaren fick 118 000 ledsjuka patienter ett brev hem där insamlingsstiftelsen Ledfonden tiggde om pengar.
Man ville ha stöd till bland annat forskning och till en informationskampanj om ledsjukdomar.
Utskicket administrerades och finansierades av Region Skåne och adresserna hämtades ur sekretesskyddade register.
Flera patienter blev upprörda över att deras sjukdomstillstånd hade röjts och anmälde till Datainspektionen.
– Det kändes inte rätt, hur kunde de veta att jag var sjuk, undrar Gunilla Quick från Braås som lider av artros och genomgått två höftledsoperationer och som fått sina uppgifter utlämnade.
– Mig har de aldrig frågat om det är okej, säger hon.
Datainspektionen kritiserar nu Region Skåne och Sahlgrenska Universitetssjukhuset för att de lämnat ut patientuppgifterna som ska vara skyddade enligt lag.
Datainspektionen konstaterar också att både Region Skåne och Sahlgrenska brutit mot personuppgiftslagen, PuL, när de låtit Ledfonden använda sig av patienternas adresser.
– Problemet i det här fallet är att anställda inom regionen har suttit på fler stolar. Dels har de varit anställda på region Skåne samtidigt som de arbetat för Ledfonden. Det är så det här har kunnat hända, säger Katarina Erlingson (C) vice ordförande i regionstyrelsen.
– Vi har uppenbarligen inte haft tillräckligt bra rutiner och det är vi som bär ansvaret för detta, säger hon.