Datatilsynet har politianmeldt Helgelandssykehuset for ikke å ha sikret pasientjournaler. Bakgrunnen er ulovlige innsyn i journaler ved sykehuset.

Datatilsynet har ikke kompetanse til å vurdere brudd på taushetsplikten, men har sett på saken i forhold til helseregisterloven.

- Sykehuset har hatt manglende sikring av person- og helseopplysninger, ingen bevisst holdning til hvilket risikonivå sykehuset kan akseptere for tilgang til pasientjournalene, og ingen dokumenterte rutiner for hvor omfattende tilgang til journalopplysninger den enkelte ansatte skal ha, sier Frode Bergland Bjørnstad, juridisk rådgiver i Datatilsynet.

Opplysninger om egen helse er noe de færreste ønsker at uvedkommende skal få tilgang til.

Bjørnstad understreker at det ikke er bruken av elektroniske pasientjournal i seg selv som truer personvernet, men manglende rutiner, sikringstiltak og kontroll rundt bruken av journalene.

 - Riktig bruk av elektronisk journal kan sikre et godt personvern for pasientene. Viktige helseopplysninger kan være enklere tilgjengelige når man trenger dem, og systemet kan gi mulighet både til å snevre inn tilgangen, og til å følge med på hvem som har kikket. Det samme er vanskelig å få til med papirjournaler.

- Men dersom sikringsrutiner og -tiltak for elektroniske pasientjournaler er for dårlige, blir det også enklere å lese opplysninger man ikke skulle hatt tilgang til, påpeker Frode Bergland Bjørnstad. Fristelsen kan rett og slett bli for stor for den enkelte.

Et sykehus kan ikke kreve at den enkelte ansattes taushetsplikt skal veie opp for egne manglende rutiner. Det vil være å fraskrive seg et lovpålagt ansvar. Helseregisterloven stiller selvstendige krav til sykehus og andre aktører i helsevesenet om sikker håndtering av pasientjournaler. - En bank lar ikke pengesedlene ligge fremme, selv om den stoler på sine ansatte. Banken er ansvarlig, og har systemer for å sikre pengene, sier Bjørnstad.

Saken har saksnummer 04/1636-19