Helsetilsynet i Oslo og Akershus, Statens helsetilsyn og Datatilsynet gjennomførte 6. og 7. juni 2006 felles tilsyn med hvordan Akershus universitetssykehus HF sikrer konfidensialiteten og tilgjengeligheten ved bruk av elektronisk pasientjournal. Tilsynet omfattet helseforetakets systematiske tiltak for å sikre at krav i helselovgivningen, helseregisterloven og personopplysningsloven blir oppfylt. Denne rapporten beskriver de avvik som ble påpekt innen de områdene som tilsynet omfattet:

• Innhenting og utlevering av pasientinformasjon
• Tilgangsstyring i forhold til elektronisk pasientjournal (EPJ) og pasientadministrative systemer (PAS)

Ved tilsynet ble det påpekt to avvik:

Avvik 1:
Akershus universitetssykehus HF sikrer ikke at taushetsbelagte personopplysninger i det elektroniske pasientjournalsystemet DIPS er forsvarlig vernet mot innsyn fra ansatte som ikke har legitimt behov for opplysningene.

Avvik 2:
Akershus universitetssykehus HF har ikke gjennomført systematiske risikovurderinger i forhold til sikring av konfidensialiteten og tilgjengeligheten til elektronisk pasientjournal, herunder fastlagt kriterier for akseptabel risiko.

Rapporten er utarbeidet etter tilsyn ved Akershus universitetssykehus HF 6. og 7. juni 2006. Tilsynet inngår som en del av den planlagte tilsynsvirksomhet Helsetilsynet i Oslo og Akershus, Statens helsetilsyn og Datatilsynet gjennomfører i inneværende år.

Helsetilsynet i fylket er gitt myndighet til å føre tilsyn med helsetjenesten etter lov om statlig tilsyn med helsetjenesten § 2 og Datatilsynet etter lov om helseregistre og behandling av helseopplysninger § 31 første ledd og lov om behandling av personopplysninger § 42 tredje ledd nr. 3.

Tilsynet ble utført som systemrevisjon. En systemrevisjon gjennomføres ved granskning av dokumenter, ved intervjuer og andre undersøkelser.

Formålet med systemrevisjonen er å vurdere om virksomheten ivaretar ulike krav i lovgivningen gjennom sin internkontroll. Revisjonen omfattet undersøkelse om:

• hvilke tiltak virksomheten har for å avdekke, rette opp og forebygge overtredelse av lovgivningen innenfor de tema tilsynet omfatter
• tiltakene følges opp i praksis og om nødvendig korrigeres
• tiltakene er tilstrekkelige for å sikre at lovgivningen overholdes

Rapporten omhandler avvik og merknader som er avdekket under revisjonen og gir derfor ingen fullstendig tilstandsvurdering av virksomhetens arbeid innenfor de områder tilsynet omfattet.

• Avvik er mangel på oppfyllelse av krav gitt i eller i medhold av lov eller forskrift
• Merknad er forhold som ikke er i strid med krav fastsatt i eller i medhold av lov eller forskrift, men der tilsynsmyndigheten finner grunn til å påpeke mulighet for forbedring

Akershus universitetssykehus HF startet innføringen av DIPS i begynnelsen av 2004. DIPS er det elektroniske journalsystemet Helse Øst har valgt å satse på for sykehusene i regionen.

Helsetilsynet i Oslo og Akershus mottok i brev av 22. november 2004 bekymringsmelding om at systemet ikke var sikret mot uautorisert tilgang.  Det har videre vært meldt om gjentatte episoder hvor hele systemet har vært nede og journalopplysninger har som følge av dette vært utilgjengelig for behandlende personell.

Akershus universitetssykehus HF er for tiden inne i en omfattende prosess med nybygging av sykehus.

Systemrevisjonen omfattet følgende aktiviteter:

Varsel om tilsyn ble sendt 10. april 2006.

Oversikt over dokumenter som er benyttet i forbindelse med tilsynet er gitt i kapittel 7 (Dokumentunderlag).

Formøte ble ikke avholdt.

Åpningsmøte ble avholdt 6. juni 2006.

Intervjuer: 13 personer ble intervjuet.

Verifikasjon: Mulighetene for logganalyse ble gjennomgått.

Sluttmøte ble avholdt 7. juni 2006.

• Innhenting og utlevering av pasientinformasjon
• Tilgangsstyring i forhold til elektronisk pasientjournal (EPJ) og pasientadministrative systemer (PAS)

Avvik 1:
Akershus universitetssykehus HF sikrer ikke at taushetsbelagte personopplysninger i det elektroniske pasientjournalsystemet DIPS er forsvarlig vernet mot innsyn fra ansatte som ikke har legitimt behov for opplysningene.

Avvik fra:

• Pasientjournalforskriften § 4 bokstav f, jf spesialisthelsetjenesteloven § 3-2 første ledd, jf internkontrollforskriften § 4, jf helseregisterloven §§ 13 og 16, jf § 36, jf personopplysningsforskriften § 2-14.

Avviket bygger på følgende:

• Helseforetaket har hatt som overordnet mål for styringen av tilgangen til pasientjournalene å gi helsepersonellet tilstrekkelig ”vid” tilgang slik at arbeidsoppgavene til de forskjellige stillingskategorier/roller kan utføres uten vesentlig behov for blålys. (se dokumentet ”Tilganger til journaler i DIPS” datert 01.03.2006).
• Leger ved somatiske avdelinger har ordinær tilgang til den elektroniske journalen til alle pasienter på somatiske avdelinger, både inneliggende, polikliniske og tidligere behandlede pasienter. Det er ingen begrensning på journaltilgang etter utskrivelse/poliklinisk kontakt. Denne tilgangen gjelder ikke testresultater fra psykisk helsevern, psykoterapinotater og andre særskilt sensitive pasientopplysninger.
• Leger innen psykisk helsevern har ordinær tilgang til den elektroniske journalen til alle pasienter på somatiske avdelinger, både inneliggende, polikliniske og tidligere behandlede pasienter. Det er ingen begrensning på journaltilgang etter utskrivelse/poliklinisk kontakt. Denne tilgangen gjelder ikke psykoterapinotater og andre særskilt sensitive pasientopplysninger.
• Kliniske sekretærer har ordinær tilgang til hele journalen for inneliggende, polikliniske og tidligere behandlede pasienter uten tidsbegrensning innenfor enten somatikk eller psykisk helsevern (mellom psykiatrisk gruppe og DPSene og mellom DPSene).
• Sykepleiere har ordinær tilgang til den elektroniske journalen til aktuelle pasienter på egen avdeling. Tilgangen gjelder kritisk informasjon og journalgruppene A-J, L og N. Tilgang til øvrige avdelinger innen somatikk eller innen psykisk helsevern til kritisk informasjon og journalgruppene C og E, for øvrig tilgang med blålys.
• Anestesisykepleiere har ordinær tilgang til den elektroniske journalen til alle aktuelle somatiske og psykiatriske pasienter i to roller uten at særskilte kontrollmekanismer er etablert.
• Sykepleiere i akuttmottaket har ordinær tilgang til den elektroniske journalen til alle inneliggende, polikliniske og tidligere behandlede somatiske pasienter uten tidsbegrensning, og uten at særskilte kontrollmekanismer er etablert.
• Dialysesykepleiere har ordinær tilgang til den elektroniske journalen til alle aktuelle somatiske pasienter.
• Sykepleiere definert som selvstendige behandlere innen somatikk som for eksempel sykepleiere på poliklinikk/dagavdeling og diabetessykepleiere har ordinær tilgang til den elektroniske journalen til alle aktuelle somatiske pasienter og tilgang med blålys til alle aktuelle pasienter innen psykisk helsevern begrenset til journalgruppene A-B, D, F-J og N.
• Hjelpepleiere og annet pleiepersonell har ordinær tilgang til den elektroniske journalen til aktuell pasient på egen avdeling. Tilgangen omfatter kritisk informasjon og journalgruppene/-dokumentene G og H 2 (somatikk) H 4 (psykisk helsevern).
• Det ble under tilsynet opplyst om praksis hvor leger i enkelttilfeller ikke førte journal for utøvd helsehjelp på ansatte ved sykehuset av hensyn til behovet for fortrolighet.
• Det ble under tilsynet opplyst om at enkelte klinikere betraktet tilgangen til journalen til å være så omfattende at man måtte vise hensyn til hva som ble journalført.
• Helseforetaket har ikke utnyttet alle mulighetene for å innsnevre tilgangen til pasientjournalen for flere kategorier helsepersonell i den eksisterende versjonen av det elektroniske pasientjournalsystemet.
• I hovedsak kan enhver lege og sekretær slå opp i enhver journal ved helseforetaket (inneliggende og tidligere pasienter) uten at man har en reell mulighet for å oppdage et tilfeldig uautorisert oppslag i journalen. Dette med mindre pasienten er ansatt ved helseforetaket eller er en kjent person. Rundt 300.000 personer har helseforetaket som sitt sentralsykehus.
• Alle oppslag i den elektroniske pasientjournalen loggføres. IT-avdelingen tar regelmessig ut lister med blålyslogg hver andre til fjerde uke. Disse sendes avdelingssjefene som har ansvar for å kontrollere loggene og følge opp eventuelt misbruk. IT-avdelingen sjekker at avdelingssjefene følger opp listene.
• Loggkontrollen omfatter ikke ordinære oppslag i pasientjournalen. På grunn av det høye antallet ordinære oppslag vil en eventuell slik kontroll bare kunne omfatte spredte stikkprøver. Loggkontroll er derfor et lite egnet hjelpemiddel til å avdekke misbruk dersom konkret mistanke om misbruk ikke foreligger. Ansatte ved kliniske avdelinger som kikker i pasient journaler uten å ha tjenstlige behov, har med dagens ordninger lav risiko for å bli avslørt.
• Det benyttes ikke egnede logganalyseverktøy som gir mulighet for å avdekke uønskede hendelser, eller som gir grunnlag for følge opp anormale hendelser. Loggjennomgang var begrenset til stikkprøver på oppslag gjort på en pasient, og på kumulative rapporter om ansattes bruk av blålysfunksjonaliteten.
• Rutine for avdelingslederes kontroll av blålyslogger er angitt gjeldende fra mai 2005. Under intervjuer ble slike kontroller angitt å først være gjennomført våren 2006.
• For å avdekke tilfeldig kikking i journalen, må en som hovedregel gjennomgå loggene for enkeltpasienter og prøve å finne ut om ansatte har vært inne i journalene uten legitim grunn. Det vil bare være mulig å kontrollere en liten del av pasientjournalene på denne måten. Muligheten for å avdekke ”sniking” på en tilfeldig pasient er dermed nesten fraværende med mindre pasienten selv ber om å få loggene til gjennomsyn.

Kommentar:
Helsehjelp skal ytes på en måte som både ivaretar kravet til faglig forsvarlighet og taushetsplikt. Taushetsplikten etter helsepersonelloven § 21 innebærer at helsepersonell og virksomheter har en aktiv plikt til å hindre at andre får tilgang til pasientopplysninger. Virksomheten skal sørge for at journal og informasjonssystemene er forsvarlige, jf spesialisthelsetjenesteloven § 3-2 og journalforskriften § 4. Forsvarlig ytelse av helsehjelp innebærer at relevante og nødvendige opplysninger må innhentes og utleveres. Slik innhenting og utlevering må skje innenfor unntakene fra taushetsplikten, jf helsepersonelloven § 25 for personell som samarbeider om behandlingen og § 45 om innhenting av opplysninger fra andre som har ytt helsehjelp til pasienten. Dette er presisert i journalforskriften § 4 hvor det går fram at virksomhetens journalsystem skal organiseres slik at det er mulig å etterleve krav nedfelt i eller i medhold av lov. Spesielt nevnt i journalforskriften § 4 er blant annet: Tilgang til og utlevering av journal, jf helsepersonelloven § 25 og § 45 samt pasientrettighetsloven § 5-3 (§ 4 bokstav b), og sikring mot innsyn fra uvedkommende, jf helsepersonelloven kapitel 5, herunder forsvarlig oppbevaring, jf helsepersonelloven § 21 (§ 4 bokstav f).

Avvik 2:
Akershus universitetssykehus HF har ikke gjennomført systematiske risikovurderinger i forhold til sikring av konfidensialiteten og tilgjengeligheten til elektronisk pasientjournal, herunder fastlagt kriterier for akseptabel risiko.

Avvik fra:

• Helseregisterloven § 16, jf personopplysningsforskriften § 2-4.

Avviket bygger på følgende:

• Helseforetaket kunne ikke fremlegge dokumentasjon av gjennomførte risikovurderinger, og opplyste for øvrig om at de ikke var dokumentert.
• Helseforetakets ledelse opplyste at risiko var vurdert av journalkomiteen som en del av arbeidet med tilgangsstyringen i forhold til journalsystemet.
• Behovet for tilgang ble vurdert av helseforetakets journalkomité. Bruk av logger ble av journalkomiteen i hovedsak ansett som tilstrekkelig for å kompensere for relativt vide tilganger.
• Sikkerhetsansvarlige anga at man måtte akseptere konsekvensene av de vide tilgangene for å sikre forsvarlig helsehjelp. Sikkerhetsansvarlige var bevisst på loggenes begrensninger.
•  Ingen ved helseforetaket opplyste under tilsynet at konfidensialitetssikring og tilgangssikring hadde blitt betraktet helhetlig med kompetanse i forhold til behov for tilgang, konsekvenser av tilgang og effekt av sikkerhetstiltak herunder kontrolltiltak. Tilsynsmyndighetene fikk ikke forståelse av at man hadde vurdert om man ivaretok personvernet generelt, og taushetsplikten spesielt.

Kommentar:
Helseregisterlovens § 16 stiller krav om at den databehandlingsansvarlige gjennom planlagte og systematiske tiltak sørger for tilfredsstillende informasjonssikkerhet med hensyn på konfidensialitet, integritet, kvalitet og tilgjengelighet. Krav til bruk av risikovurderinger som et systematisk verktøy fremgår av personopplysningsforskriftens § 2-4, her også plikten den behandlingsansvarlige har til å fastlegge kriterier for akseptabel risiko. Det stiles krav til dokumentasjon av gjennomførte risikovurderinger.

Avviket her er relatert til egne ansattes tilgang til helseopplysninger i den databehandlingsansvarliges virksomhet. Øvrige sider av denne plikten til å drive systematisk sikkerhetsarbeid var ikke tema ved dette tilsynet.

• Lov av 30. mars 1984 nr 15 om statlig tilsyn med helsetjenesten (helsetilsynsloven).
• Lov av 18. mai 2001 nr 24 om helseregistre og behandling av helseopplysninger (helseregisterloven).
• Lov av 14. april 2000 nr 31 om behandling av personopplysninger (personopplysningsloven).
• Lov av 2. juli 2001 nr 64 om helsepersonell m.v. (helsepersonelloven).
• Lov av 2. juli 2001 nr 61 om spesialisthelsetjenesten m.m. (spesialisthelsetjenesteloven).
• Forskrift av 21. desember 2001 nr 1385 om pasientjournal (pasientjournalforskriften).
• Forskrift av 20. desember 2002 nr 1731 om internkontroll i sosial- og helsetjenesten (internkontrollforskriften).
• Forskrift av 15. desember 2000 nr 1265 om behandling av personopplysninger (personopplysningsforskriften).

Virksomhetens egen dokumentasjon knyttet til den daglige drift og andre forhold av betydning, oversendt under forberedelsen av tilsynet i brev av 28. april og e-post av 30. mai:

• Overordnet organisasjonskart pr. 01.05.05
• Akershus universitetssykehus HF: Prinsippskisse nettverk, datert 20.04.2006
• Overordnet beskrivelse av Ahus nettverk, udatert
• Tilganger til DIPS, datert 25.03.04
• Tilganger til psykiatrisk journal i DIPS, datert 18.02.05
• Informasjonsplikt og innsynsrett, gjeldende fra 4. oktober 2004
• Loggkontroll av tilganger til DIPS, gjeldende fra 2. mai 2005
• Rett til innsyn i journal - Utlevering av kopi, udatert
• Tilganger til journal i DIPS, datert 01.03.06
• Utlevering av journalkopi – somatisk journal, revidert 27.01.06
• Tilgang til elektronisk pasientjournal for vikarer og ekstravakter, gjeldende fra 21.03.06
• Dokumenter mottatt av tilsyndsmyndighetene i følge med tidligere saker om tilgangsstyring ved helseforetaket (Helsetilsynet i Oslo og Akershus sak nr. 2004/28777 FM-H og Datatilsynet sak 2004/01711):
• E-post fra Akershus universitetssykehus v/ adm. dir. til Helsetilsynet i Oslo og Akershus og Datatilsynet om DIPS Ahus – tilgangsstyrings informasjon, 23.11.04
• Brev fra Akershus universitetssykehus - Lillestrømklinikken til Datatilsynet om alvorlige sikkerhetsfeil i elektronisk journalsystem DIPS, datert 29. november 2004
• Brev fra Akershus universitetssykehus til Datatilsynet og Helsetilsynet i Oslo og Akershus om sikkerhetsfeil i elektronisk journalsystem datert 17. desember 2004
• Brev fra Akershus universitetssykehus til Helsetilsynet i Oslo og Akershus om sikkerhetsfeil i journalsystemet DIPS datert 23. mai 2005
• Brev fra Akershus universitetssykehus til Helsetilsynet i Oslo og Akershus med forespørsel om sikkerhetsfeil i journalsystemet DIPS datert 10. januar 2006
• KITH-rapport: Undersøkelse av tilgangsstyring i DIPS ved Akershus universitetssykehus datert 17. januar 2005

Dokumenter overlevert tilsynsmyndigheten under tilsynet:

• Oversikt over brukere med flest innsyn i pasientjournaler siste 6 mnd
• Oversikt over brukere med flest innsyn i pasientjournaler siste 6 mnd gjennom blålys
• Skjema for tildeling av adgangsrettigheter - sikkert nett, datert 07.07.04
• Skjema for tildeling av adgangsrettigheter - administrasjonsnett, datert 11.07.02
• Databrukerkontrakt ved bruk av informasjonssystemet ved A-hus, udatert

Dokumentasjon som ble gjennomgått under tilsynet:

• Dokument om ”Tilganger til journal i DIPS”, datert 1. mars 2006
• Dokument om ”Loggkontroll av tilganger til DIPS”, gjeldende fra 2. mai 2005
• Dokument om ”Registrering av kritisk informasjon”, datert 29. mars 2006
• Dokument om ”Kontroll av ”Blålyslogg” fra DIPS for Kirurgisk avdeling”, datert xx. mai 2006

Korrespondanse mellom virksomheten og Datatilsynet:

• Varsel om tilsyn ble sendt i brev av 10. april 2006
• Dokumentasjon fra Akershus universitetssykehus HF i brev av 28. april og e-post av 30. mai 2006 med vedlegg
• Endelig program for tilsynet ble sendt virksomheten i e-post av 29. mai 2006

I tabellen under er det gitt en oversikt over deltakerne på åpningsmøte og sluttmøte, og over hvilke personer som ble intervjuet.

Fra Helsetilsynet i Oslo og Akershus, Statens helsetilsyn og Datatilsynet deltok:
Ingvild Aubert, seniorrådgiver, Helsetilsynet i Oslo og Akershus
Hanne P. Gulbrandsen, seniorrådgiver, Datatilsynet
Helge Veum, overingeniør, Datatilsynet
Pål Børresen, seniorrådgiver, Statens helsetilsyn
Magnar Kleppe, seniorrådgiver, Statens helsetilsyn (revisjonsleder)