Det handlar om Karolinska universitetssjukhuset och S:t Görans sjukhus i Stockholm, Sahlgrenska universitetssjukhuset i Göteborg samt Region Östergötland och Region Västerbotten.
"Det har i samtliga fall varit fråga om stora uppgiftssamlingar som varit tillgängliga för ett stort antal anställda och det rör sig dessutom om känsliga personuppgifter om enskildas hälsotillstånd", säger förvaltningsrättens chefsrådman Anna Önell i ett pressmeddelande.
Sjukhusen gav varje användare behörighet att komma åt personuppgifter, utan att först göra en behovs- och riskanalys, vilket GDPR kräver.
Bristerna uppdagades efter tillsyn av Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen, och som straff utfärdade myndigheten sanktionsavgifter på sammanlagt 22,5 miljoner kronor, där S:t Görans sjukhus fick den högsta enskilda sanktionsavgiften på 10 miljoner kronor.
Nu fastslår förvaltningsrätten att sjukhusen och regionerna bröt mot de grundläggande principerna för personuppgiftsbehandling i GDPR och att det var rätt av IMY att utfärda straffavgifterna.