Helsetilsynet i Hordaland, Statens helsetilsyn og Datatilsynet gjennomførte 8. og 9. mai 2006 tilsyn med korleis Helse Bergen HF, Haukeland Universitetssjukehus sikrar teieplikta ved bruken av pasientjournalsystemet Doculive og det pasientadministrative systemet PIMS. Tilsynet omfatta helseføretaket sine systematiske tiltak for å sikre at krav i helselovgjevinga, helseregisterlova og personopplysningslova blir oppfylte. Denne rapporten gjer greie for det avviket som blei påpeikt innanfor dei områda tilsynet omfatta:

• Innhenting og utlevering av pasientinformasjon frå det elektroniske pasientjournalsystemet Doculive.
• Tilgangsstyring i forhold til elektronisk pasientjournal og det pasientadministrative systemet PIMS.

Ved tilsynet blei det påpeikt eitt avvik:

Helse Bergen HF sikrar ikkje at teiepliktige personopplysningar i det elektroniske pasientjournalsystemet Doculive og i det pasientadministrative systemet PIMS er forsvarleg verna mot innsyn frå tilsette som ikkje har legitimt behov for opplysningane.

Dato: 23. august 2006

Rapporten er utarbeidd etter tilsyn med informasjonstryggleiken i det elektroniske journalsystemet Doculive og i det pasientadministrative systemet PIMS ved Helse Bergen HF, Haukeland universitetssjukehus 8. - 9. mai 2006. Tilsynet går inn som ein del av den planlagde tilsynsverksemda hos Helsetilsynet i Hordaland, Statens helsetilsyn og Datatilsynet i dette året.

Helsetilsynet i fylket har heimel til å føre tilsyn med helsetenesta etter Lov om statlig tilsyn med helsetjenesten (helsetilsynslova) § 2 og Datatilsynet etter Lov om helseregistre og behandling av helseopplysninger (helseregisterlova) § 31 og Lov om behandling av personopplysninger (personopplysningslova) § 42 tredje ledd nr. 3.

Tilsynet blei utført som systemrevisjon. Ein systemrevisjon blir gjennomført ved å granske dokument, ved intervju og andre undersøkingar.

Formålet med systemrevisjonen er å vurdere om verksemda tek hand om ulike krav i lovgjevinga gjennom internkontrollen sin. Revisjonen omfatta å undersøkje om:

• kva tiltak verksemda har for å avdekkje, rette opp og førebyggje brot på lovgjevinga innanfor dei områda tilsynet omfattar,
• tiltaka blir følgde opp i praksis og om nødvendig korrigerte,
• tiltaka er gode nok for å sikre at lovgjevinga blir følgd.

Rapporten handlar om avvik og merknader som er avdekte under revisjonen og gjev derfor inga fullstendig tilstandsvurdering av det arbeidet verksemda har gjort innanfor dei områda som tilsynet omfatta.

• Avvik dreier seg om at krav som er gitt i eller i tråd med lov eller forskrift, ikkje er oppfylte.
• Merknad er forhold som ikkje er i strid med krav som er fastsette i eller i tråd med lov eller forskrift, men der tilsynsorganet finn grunn til å påpeike betringspotensial.

Funksjonaliteten i det elektroniske pasientjournalsystemet Doculive og i det pasientadministrative systemet PIMS er slik at Helse Bergen HF har konkrete planar om å skifte ut begge systema. Så vidt vi kjenner til, finst det på det noverande tidspunkt ikkje kommersielt tilgjengelege pasientjournalsystem for sjukehus med funksjonalitet som fullt ut er tilpassa krava i norsk lovgjeving.

Tilsynet omfatta følgjande aktivitetar:

Melding om tilsyn blei sendt 27. mars 2006

Oversikt over dokument som er lagt til grunn ved tilsynet, er gjeve i kapittel 7 (Dokumentunderlag).

Formøte blei ikkje halde.

Opningsmøte blei halde 8. mai 2006.

Intervju: 5 personar blei intervjua.

Sluttmøte blei halde 9. mai 2006.

• Innhenting og utlevering av pasientinformasjon frå det elektroniske pasientjournalsystemet Doculive
• Tilgangsstyring i forhold til elektronisk pasientjournal og det pasientadministrative systemet PIMS

Avvik:
Helse Bergen HF sikrar ikkje at teiepliktige personopplysningar i det elektroniske pasientjournalsystemet Doculive og i det pasientadministrative systemet PIMS er forsvarleg verna mot innsyn frå tilsette som ikkje har legitimt behov for opplysningane.

Avvik frå:

• Pasientjournalforskrifta § 4, jf spesialisthelsetenestelova § 3-2, 1. ledd, jf internkontrollforskrifta § 4, jf helseregisterlova §§ 13 og 16, jf. § 36, jf. personopplysningsforskrifta § 2-14.

Avviket byggjer på følgjande:

• Dokumentet ”Oppretting av brukertilgang i Doculive pasientjournal i Helse Bergen” frå mai 2006 viser at alle legar, grupper av sjukepleiarar (oversjukepleiarar, avdelingssjukepleiarar, assisterande avdelingssjukepleiarar, fagsjukepleiarar, spesialsjukepleiarar/poliklinikksjukepleiarar), psykologar, fysioterapeutar, ergoterapeutar, sosionomar, logopedar, ernæringsfysiologar, yrkeshygienikarar, pedagogar, vernepleiarar og sekretærar normalt skal ha tilgang til å lese dei elektroniske pasientjournalane til pasientar som er innlagde i avdelinga dei arbeider ved. Gjennom aktualisering har desse gruppene tilsette lesetilgang til pasientjournalane til alle noverande og tidlegare innlagde pasientar i dei somatiske avdelingane i helseføretaket.
• Under tilsynet kom det ikkje fram informasjon om at den reelle tilgangen for helsepersonell til dei elektroniske pasientjournalane avveik frå retningslinene i dokumentet ”Oppretting av brukertilgang i Doculive pasientjournal i Helse Bergen” frå mai 2006.
• Pasientjournalsystemet Doculive tillet ikkje nemneverdig meir selektiv tilgangstyring for dei tilsette enn det som allereie er tatt i bruk.
• Ved dei kliniske avdelingane som tilsynet omfatta, har dei tilsette som er involverte i behandling av pasientar behov for å ha tilgang til dei aktuelle pasientane sine journalar. Journaltilgang ut over dette blir i hovudsak ikkje vurdert som nødvendig. Tilgangen til pasientjournalar er for store grupper tilsette vesentleg vidare enn behova.
• Sekretærane har mange ulike funksjonar, og somme utfører oppgåver for fleire avdelingar. Funksjonaliteten i det elektroniske journalsystemet Doculive gjer det vanskeleg å sikre tilstrekkeleg god individuell tilgangstyring for mellom anna denne gruppa tilsette.
• Sekretærane toppa listene over dei 20 medarbeidarane som hadde flest aktualiseringar dei siste 6 månadane ved dei fleste avdelingane.
• Avdelingsoverlegane har tilgang til journallogg og har i følgje Dokumentet ”Oppretting av brukartilgang i Doculive pasientjournal i Helse Bergen” frå mai 2006 kontrollplikt. Det same gjeld assisterande avdelingsoverlegar, med unntak av at desse har delegert kontrollplikt.
• Tilsette ved kliniske avdelingar som kikkar i pasientjournalar utan å ha tenestlege behov, har med dagens journalsystem låg risiko for å bli avslørde.
• Ved kontroll av enkelte journalar var 1/3 av oppslaga såkalla aktualiseringsoppslag, og 2/3 oppslag innanfor ordinær tilgang. Det store talet på aktualiseringsoppslag gjer at desse loggane har avgrensa verdi til å avdekke misbruk blant tilsvarande autoriserte oppslag i journalen.
• Det høge talet på aktualiseringar medfører at vurdering av loggane over aktualisering for å avsløre ikkje-mistenkt misbruk frå medarbeidarane, er svært ressurskrevjande på grunn av mangel på effektive analyseverkty. Per dags dato har ikkje avdelingane ressursar til å gjere noko anna enn sterkt avgrensa og sporadiske stikkprøver.
• For å avdekke tilfeldig kikking i journalen, må ein som hovudregel gjennomgå loggane for enkeltpasientar og prøve å finne fram til tilsette som har vore inne og kikka i journalane utan legitim grunn. Det vil berre vere mogleg å kontrollere ein liten del av pasientjournalane på denne måten. På dette området har føretaket plukka ut eigne tilsette eller kjende personar behandla ved føretaket som indekspasientar for slike stikkprøver. Moglegheita for å oppdage sniking på ein tilfeldig pasient er såleis nesten heilt fråverande med mindre pasienten sjølv ber om å få loggane til gjennomsyn.
• Hittil har det berre blitt starta personalsak mot ein medarbeidar for misbruk av retten til å sjå i pasientjournalar.

Kommentar:
Formålet med teieplikta er å verne om pasientane sin integritet og sikre at befolkninga har tillit til helsetenesta og helsepersonell. Pasientane skal føle seg trygge på at opplysningane som blir gjevne i samband med helsehjelpa, ikkje er tilgjengelege for andre enn dei som tek del i behandlinga. Formålet med lovreglane som stiller krav til informasjonsbehandling, er å bidra til ei rasjonell og trygg forvaltning av helseopplysningar. Dei gjeldande krava om teieplikt i helsepersonellova inneber inga liberalisering i forhold til tidlegare lovgjeving når det gjeld informasjonstilgang for personell. Utveksling av teiepliktig informasjon mellom helsepersonell skal berre skje når det er nødvendig for behandling og oppfølging av pasienten, eller i situasjonar der det ligg føre anna rettsleg grunnlag for å gi slik informasjon. Teieplikta er ikkje berre ei passiv plikt til å teie, men også ei aktiv plikt til å hindre at uvedkommande får tilgang til informasjon som er underlagt teieplikt. Forsvarleg handtering og oppbevaring av pasientopplysningar er ein føresetnad for å etterleve den lovbestemte teieplikta.

• Lov om statlig tilsyn med helsetjenesten (helsetilsynslova).
• Lov om helseregistre og behandling av helseopplysninger (helseregisterlova).
• Lov om behandling av personopplysninger (personopplysningslova).
• Lov om helsepersonell (helsepersonellova).
• Lov om spesialisthelsetjenesten (spesialisthelsetenestelova).
• Forskrift om internkontroll i sosial- og helsetjenesten.
• Forskrift om behandling av personopplysninger (personopplysningsforskrifta).
• Forskrift om pasientjournal (pasientjournalforskrifta).

Dokumentasjon som blei gjennomgått under tilsynet:

• Dokumentet ”Oppretting av brukartilgang i Doculive pasientjournal i Helse Bergen” Mai 2006.
• Lister over dei 20 medarbeidarane ved utvalde avdelingar som hadde flest aktualiseringar siste 6 månader (Listene omfatta: Avdeling for kreftbehandling og medisinsk fysikk, Hjerteavdelingen, Hudavdelingen, Lungeavdelingen, Medisinsk avdeling, Radiologisk avdeling, Revmatologisk avdeling, Yrkesmedisinsk avdeling, Øyeavdelingen, Barneklinikken, Habiliteringstjenesten, Avdeling for fysikalsk medisin, Kirurgisk klinikk, Kirurgisk serviceklinikk, Kjevekirurgisk avdeling, Øre-nese-halsavdelingen, Kvinneklinikken, Nevrokirurgisk avdeling, Nevrologisk avdeling, Ortopedisk klinikk og Voss sjukehus).
• Rutine for autorisasjon for tilgang datert 20.10.2005.
• Skjema for søknad om tilgang til IT - system (Revisjon: 0.0.2.0.)
• Sikkerhetsinstruks (Versjon 20.10.2005).

Korrespondanse mellom verksemda og Datatilsynet:

• Melding om tilsyn blei sendt 27. mars 2006.
• Førespurnad frå Helse Bergen HF om endring av tidspunkt for tilsynet dagsett 6. april 2006.
• Melding om ny dato for tilsynet blei sendt 10. april 2006.
• Dokumentasjon frå Helse Bergen HF blei motteke i brev av 20. april 2006.
• Program for tilsynet blei sendt 20. april 2006.

Tabellen under gir ei oversikt over deltakarane på opningsmøte og sluttmøte, og over kva personar som blei intervjua.

Frå Helsetilsynet i Hordaland, Statens helsetilsyn og Datatilsynet deltok:

Helga Arianson, fylkeslege, Helsetilsynet i Hordaland.
Anne Kristine Breivik, rådgivar, Helsetilsynet i Hordaland.
Sverre Engelschiøn, seniorrådgivar, Datatilsynet.
Helge Veum, overingeniør, Datatilsynet.
Pål Børresen, seniorrådgivar, Statens helsetilsyn.
Magnar Kleppe, seniorrådgivar, Statens helsetilsyn.