Innledning
Opplysninger om
helseforhold er definert som sensitive personopplysninger i lov
om behandling av personopplysninger (personopplysningsloven). Det stilles
i en rekke lover krav til helseforetakenes håndtering av taushetsbelagte
helse- og personopplysninger. De samme kravene gjelder overfor eventuelle
leverandører som gis tilgang til slike opplysninger.
Etter at lov om
behandling av helseopplysninger ved ytelse av helsehjelp (pasientjournalloven)
trådte i kraft 1. januar 2015, er det innført adgang til å gi tilgang til
helseopplysninger mellom virksomheter. Helseopplysninger kunne tidligere
kun gis til ansatte innen samme virksomhet. I tillegg er det vedtatt
en ny personvernforordning i EU som stiller nye og strengere krav
til bruken av personopplysninger av borgere i både EU- og EØS-landene.
Dette vil kunne medføre nye og strengere krav i personopplysningsloven.
Riksrevisjonen har
de siste årene gjennomført flere undersøkelser av helseforetakenes
styring av tilgang til helseopplysninger, og disse har vist at det
er svakheter ved informasjonssikkerheten i spesialisthelsetjenesten.
Riksrevisjonens
undersøkelse av styring og kontroll av tilgang til helseopplysninger
i elektroniske pasientjournaler i fire helseforetak, gjengitt
i Dokument 3:2 (2014–2015), viste at gjeldende regelverk om informasjonssikkerhet
og behandling av helseopplysninger ikke var tilstrekkelig implementert,
at ansatte hadde tilgang til helseopplysninger ut over tjenstlig
behov, og at det ikke var noen systematisk kontroll og oppfølging
av ansattes tilganger. Ved oppfølging av denne saken i Dokument
3:2 (2016–2017) viste departementet til at de regionale helseforetakene
har rapportert at igangsatte tiltak i hovedsak forventes å være
gjennomført innen utgangen av 2016 eller i løpet av 2017.
Riksrevisjonens
undersøkelse om helseforetakenes beredskap innen IKT, vann og strøm
(Dokument 3:2 (2014–2015)) viste at helseforetakene ikke hadde fulgt opp
det ansvaret de har som eiere av data og som databehandleransvarlige.
Helseforetakene overlot mye av beredskapsarbeidet for IKT til de
regionale IT-enhetene, som er deres driftsleverandører og databehandlere.
Dette medførte blant annet risiko for svekket informasjonssikkerhet.
I Dokument 3:2 (2015–2016)
rapporterte Riksrevisjonen at helseforetakene ikke stilte tilstrekkelige
krav om informasjonssikkerhet i avtaler med leverandører av medisinsk-teknisk
utstyr, og at de hadde mangelfull oppfølging av leverandører og
mangelfull oversikt over risiko knyttet til informasjonssikkerhet
i medisinsk-teknisk utstyr.
I behandlingen av
Dokument 3:2 (2014–2015) uttalte Stortingets kontroll- og konstitusjonskomité
at den ser alvorlig på at helseforetakene ikke har systematisk kontroll
og oppfølging av de ansattes tilganger i systemer for elektronisk
pasientjournal.
I behandlingen av
Dokument 3:2 (2015–2016) uttalte komiteen at informasjonssikkerhet
og personvern innen helsesektoren må tas på det største alvor hos
alle som er involvert i ulike prosesser i helsevesenet.
I mai 2017 kom det
fram at utenlandske IT-arbeidere har hatt tilgang til sensitive
pasientdata i Helse Sør-Østs datasystemer. IT-arbeiderne hadde i
en periode tilgang til å kopiere pasientjournaler og mulighet til
å dele ut nye tilganger til andre eksterne personer. Helse Sør-Øst
RHFs moderniseringsprogram for IKT-infrastrukturen ble som følge
av dette stilt i bero. En slik modernisering er ifølge Helse Sør-Øst
RHF nødvendig for å rette opp mangler ved informasjonssikkerheten,
men foretaket har så langt ikke tatt stilling til hvordan eller
om prosjektet skal føres videre. I juni 2017 kom det også fram at Oslo
universitetssykehus HFs elektroniske pasientjournalsystem tillater
at ansatte direkte kan styre egen tilgang til pasientjournaler.
Med bakgrunn i at
Riksrevisjonen i flere tilfeller har tatt opp svakheter ved informasjonssikkerheten
i helseforetakene, og at det fortsatt oppstår informasjonssikkerhetsbrudd,
er saken lagt fram for Helse- og omsorgsdepartementet i brev av
3. juli 2017. Departementet har svart i brev av 18. august 2017.
Departementet opplyser
at helseforetakenes styring og kontroll med tilgang til helseopplysninger,
på bakgrunn av Riksrevisjonens rapport ble fulgt opp med eierkrav
i foretaksmøtene med de regionale helseforetakene i januar 2015.
Foretakene ble her pålagt å følge opp med tiltak for å lukke avvikene
som ble påpekt av Riksrevisjonen.
De regionale helseforetakene
har i møter i 2015 og 2016 presentert status for dette arbeidet
for departementet. I møtet i august 2016 ble det besluttet å ha
et nytt oppfølgingsmøte etter et år. Dette møtet ble avholdt i juli
2017.
Departementet viser
til at de regionale helseforetakene har planlagt å utrede et felles
nasjonalt prosjekt for å avdekke urettmessig tilgang til pasientjournaler.
Denne utredningen har blitt utsatt og er foreløpig ikke påbegynt.
Departementet vil følge dette videre opp i dialog med de regionale
helseforetakene. Departementet opplyser at det er planlagt et nytt
møte med de regionale helseforetakene høsten 2017 om arbeidet med
å lukke avvikene ved tilganger.
De regionale helseforetakene
har iverksatt eller planlagt en rekke løsninger i egen region for
å oppnå kontroll med tilganger i datasystemer som håndterer pasientdata.
Foretakene har rapportert at de fleste tiltakene vil bli utført
eller ferdigstilt i perioden 2017–2019. Tilgangsstyringen i det
elektroniske pasientjournalsystemet DIPS er ikke standardisert mellom
de tre helseregionene som bruker dette systemet. I disse tre helseregionene
benyttes det ulike former for tilgangsstyring. Departementet opplyser
at det for Helse Sør-Øst RHF er etablert regionale prinsipper for
tilgangsstyring i et felles arbeid i regionen. Ved innføring av
teknisk løsning og regionale prinsipper for tilgangsstyring i det
enkelte helseforetaket er det helseforetaket selv som må vurdere
iverksettelse og justering i eget foretak.
Departementet viser
til at det, i etterkant av at Helse Sør-Øst RHF i mai 2017 ga tilganger
til ansatte i et eksternt selskap, har gitt et oppdrag til Direktoratet
for e-helse om innen 1. november 2017 å undersøke helsesektorens
håndtering av informasjonssikkerhet ved bruk av private underleverandører.
Departementet opplyser videre at det blant annet på bakgrunn av
denne undersøkelsen og rapportert status for de regionale helseforetakenes
oppfølgingsarbeid vil vurdere om det er behov for ytterligere oppfølging
av de regionale helseforetakene. Eventuelle tiltak og korrigeringer
vil kunne skje i forbindelse med felles foretaksmøte i de regionale
helseforetakene i januar 2018.