Hvert av sykehusene og Sykehuspartner må punge ut med 800.000 kroner hver i overtredelsesgebyr. Til sammen må foretakene ut med 10 millioner kroner for lovbruddene, melder NRK.
NRK avslørte tidligere i år at IT-arbeidere i India, Bulgaria og Malaysia hadde tilgang til pasientjournaler i Helse sørøst.
Datatilsynet har lagt fram en 33 sider lang rapport der tilsynet konkluderer med at det ble gjort mangelfulle vurderinger av sikkerhet og risiko før helseforetaket satte ut IT-systemer til utlandet.
Tilsynet mener flere paragrafer i pasientjournalloven og personopplysningsloven er brutt.
– Vår vurdering er at det ikke finnes formildende omstendigheter i denne saken, skriver Datatilsynet.
Tilsynet mener dessuten at medienes omtale av saken har bidratt til å begrense konsekvensene ettersom Helse sørøst da stanset fremdriften i prosjektet.
Ledelsen i Helse sørøst sier til NRK at det er for tidlig å kommentere innholdet i rapporten, men at de vil gå grundig inn i dette.