De siste årene har en del virksomheter begynt å tilby helserelaterte tjenester på Internett. Det finnes nå flere helseportaler hvor brukere av Internett kan få medisinsk rådgivning ved å sende e-post eller fylle ut web-baserte spørreskjemaer.
Pasientens krav på konfidensialitet og riktig behandling kan ikke ivaretas dersom uvedkommende har mulighet til å lese, kopiere, endre og slette opplysninger som sendes over Internett. Uten sikkerhetstiltak vil opplysningene i prinsippet være tilgjengelige for alle. Sikkerhetstrusselen gjelder både overføringen og informasjonssystemene. For den enkelte pasient kan slike sikkerhetsbrudd medføre uopprettelige skader og et svekket tillitsforhold til helsetjenesten generelt.
Hovedtyngden av opplysninger som kommer på avveie ved bruk av Internett skyldes menneskelige feil. Eksempler kan være e-post som sendes til feil adressat og e-postforsendelser med feil vedlegg. Det innebærer at virksomhetene som behandler personopplysninger må ha gode rutiner og systemer som sikrer at de blir behandlet slik de skal.
Sensitive opplysninger
Leger og annet helsepersonell arbeider i stor utstrekning med opplysninger av sensitiv karakter. Personopplysningsloven definerer hvilke opplysninger som regnes som sensitive. Dette er opplysninger om helseforhold, rase, politisk eller religiøs oppfatning og medlemskap i fagforeninger. Det er også opplysninger som angir om en person har vært mistenkt, tiltalt eller dømt for straffbart forhold. (Se personopplysningsloven § 2 nr. 8)
Konsesjons- eller meldeplikt?
Konsesjonsplikt er hovedregelen etter personopplysningsloven ved behandling av sensitive opplysninger. Det er imidlertid et unntak for behandling av sensitive personopplysninger som er avgitt uoppfordret. (Personopplysningsloven § 33.) Dersom legen eller virksomheten direkte eller indirekte oppfordrer brukerne til å sende opplysninger, er ikke opplysningene avgitt uoppfordret. Dersom tjenesten innbyr til overføring av sensitive opplysninger, eller den informasjonen brukeren får av virksomheten gir inntrykk av at dette er akseptabelt, er dette en indirekte oppfordring.
Videre er det unntak fra konsesjonsplikten for behandling av pasientopplysninger hos helsepersonell. (Se forskrift til personopplysningsloven § 7-24.) Unntaket gjelder imidlertid bare i forbindelse med behandling og oppfølging av den enkelte pasient, for arbeid som oppnevnt sakkyndig eller for utarbeidelse av statistikk. Hva som vurderes å være "behandling og oppfølging av den enkelte pasient", er knyttet begrepet "helsehjelp" slik det er regulert i helsepersonelloven og plikten til å føre journal. (Se helsepersonelloven § 39.)
Om den aktuelle Internett-helsetjenesten er behandling eller helsehjelp, og dermed underlagt helsepersonelloven, eller om tjenesten er en type "rådgivning", er en vurdering som må foretas av Statens helsetilsyn.
Dersom virksomhetens behandling av personopplysninger er unntatt konsesjonsplikt, skal den likevel meldes i henhold til personopplysningsloven § 31. Personopplysningslovens øvrige regelverk gjelder uavhengig av konsesjons- eller meldeplikt.
Krav til informasjonssikkerhet
Elektronisk behandling av personopplysninger skal tilfredsstille sikkerhetskravene i personopplysningsloven § 13 og forskriften kapittel 2, uansett om behandlingen skjer i privat eller offentlig regi, eller om den er underlagt konsesjons- eller meldeplikt. Kravene til informasjonssikkerhet omfatter både administrative og edb-tekniske forhold i virksomheten. Sikkerhetstiltakene skal bygges opp etter en risikovurdering som ser hen til hvilke personopplysninger som behandles. Virksomheten skal videre blant annet utarbeide sikkerhetsmål og strategi, lage rutiner samt sørge for at ansatte har nødvendig kompetanse. Prosedyrer og rutiner skal dokumenteres skriftlig. (Se forskriften kapittel 2.) Personopplysningsloven inneholder også et krav til egenkontroll. (Se personopplysningsloven § 14.)
Ved ekstern overføring av sensitive personopplysninger stilles det i tillegg krav om kryptering eller sikring på annen måte.
Bruk av Internett i kommunikasjon og rådgivning om helseforhold
Datatilsynet ser en rekke betenkelige sider ved å bruke Internett til kommunikasjon og rådgivning i helserelaterte spørsmål.
Et forhold som Datatilsynet er særlig opptatt av, og som også Statens helsetilsyn har uttalt seg om, er at brukere av Internett i liten grad kan forsikre seg om at mottaker og avsender faktisk er den de utgir seg for å være. For eksempel kan nettstedet til en virksomhet kopieres og gjøres tilgjengelig på en annen Internettadresse. På denne måten kan uvedkommende få tilgang til opplysninger om brukerens høyst privat helseforhold - selv om selve overføringen av opplysningene er kryptert.
Problemet med sikker identifikasjon av avsender og mottaker av opplysninger kan imidlertid bli løst ved bruk av digitale signaturer og TTP-tjenester (tiltrodd tredjepart).
Kravene til forsvarlig yrkesutøvelse for helsepersonell kan begrense hvilke helsetjenester som lovlig kan ytes på Internett. (Se lov om helsepersonell § 4.) Statens helsetilsyn, som forvalter regelverket i helsepersonelloven, har for eksempel uttalt at forskrivning av legemidler via Internett som hovedregel er i strid med kravet om forsvarlig legevirksomhet. Helsetilsynet har også i en konkret sak kommet frem til at henvisning til speisalist/fysioterapeut via Internett var uforsvarlig. På generelt grunnlag uttalte Helsetilsynet blant annet at: "forsvarlig undersøkelse, diagnostisering og behandling krever at legen har mulighet til å observere pasienten, det vil si at pasienten er fysisk tilstede sammen med legen. Dette er også av avgjørende betydning for ikke å overse andre symptomer/lidelser enn de pasienten spesielt henvender seg om".
Brudd på taushetsplikten
Leger og annet helsepersonell har et særskilt ansvar for å sikre at pasientopplysninger ikke kommer på avveie. Om sensitive opplysninger kommer på avveier ved elektronisk overføring, kan det være brudd på taushetsplikten. I denne sammenhengen minner vi om at brudd på legelovens regler er belagt med straff. (Se helsepersonelloven § 67.) God informasjonssikkerhet minsker risikoen for brudd på taushetspliktreglene