Politiet har gitt Helgelandssykehuset et forelegg etter at en avdelingsleder urettmessig leste pasientjournalene til flere av sine underordnede.

Datatilsynet anmeldte Helgelandssykehuset for manglede informasjonssikkerhet etter journalsnokingen. Politiet i Helgeland var enige med Datatilsynet, og gav Helgelandssykehuset et forelegg, som sykehuset nå har vedtatt.

- For Datatilsynet har dette vært en viktig prinsippsak, sier Frode Bergland Bjørnstad, juridisk rådgiver i Datatilsynet. - Det skal ikke være fritt frem å lese andre menneskers journaler, fastslår Bjørnstad, og peker på at sykehusene er ansvarlige for at sikkerheten og rutinene rundt journalene er tilstrekkelig.
 – Sykehusene må legge opp sine systemer slik at de som behandler pasienten får tilgang, men ikke slik at alle andre også får lese opplysningene, påpeker Bjørnstad.

Sykehus må, som andre virksomheter med sensitiv personinformasjon, ha en tilfredsstillende informasjonssikkerhet. – I en virksomhet med ca. 1200 ansatte er ikke informasjonssikkerheten tilfredsstillende dersom det ikke fins tilstrekkelig dokumentasjon, fastslår Frode Bergland Bjørnstad. - Manglende dokumentasjon indikerer at helseforetaket ikke har prioritert sikkerheten.

Datatilsynet har tidligere påpekt at Helgelandssykehuset hadde store mangler i dokumentasjonen. I tillegg var etterkontrollen med loggene nærmest fraværende, og Datatilsynet mente at sykehuset heller ikke hadde tilstrekkelig styring med hvem som ble gitt tilgang til hvilke opplysninger.  - Når arbeidet med informasjonssikkerhet ble prioritert, tok det helseforetaket under et halvt år å fremskaffe dokumentasjonen, sier Bjørnstad.

Ingen straff for selve snokingen
- Det har vist seg i denne saken at reglene om taushetsplikt i helselovgivningen er for uklare, påpeker Bjørnstad. Helsemyndighetene mente at snokingen var ulovlig. Påtalemyndigheten mente imidlertid at snokingen i journalene ikke var straffbar, fordi ordlyden ikke var tydelig nok. Kun dersom opplysningene var blitt gitt videre til andre, ville det i følge påtalemyndigheten være tilstrekkelig grunnlag i ordlyden til å straffeforfølge. 

Helse- og omsorgsdepartementet må vurdere om det er nødvendig med en klargjøring i loven, eller om regelverket er tilfredsstillende slik det er. Av hensyn til den enkelte, anbefaler Datatilsynet en klargjøring.

Les tidligere oppslag i saken her: Datatilsynet anmelder sykehus