Endelig kontrollrapport

Transkript

1 Saksnummer: 13/01088 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Alta sykestue Sted: Alta helsesenter Utarbeidet av: Camilla Nervik Grete Alhaug Marius Engh Pellerud 1 Innledning Datatilsynet gjennomførte høsten og vinteren 2013 en serie stedlige kontroller for å undersøke helsesektorens oppfyllelse av forskrift om virksomhetsovergripende pasientjournal i formalisert arbeidsfellesskap. I den forbindelse var Datatilsynet på kontroll hos Alta sykestue ved virksomhetens faste forretningsadresse i Alta helsesenter. Kontrollen ble gjort med hjemmel i lov om behandling av helseopplysninger av 18. mai 2001 nr. 24 (helseregisterloven) 31. Forskrift om virksomhetsovergripende pasientjournal i formaliserte arbeidsfellesskap (heretter omtalt som «forskriften») er gitt med hjemmel i helseregisterloven 6 b. Forskriften trådte i kraft i november Datatilsynet har ikke tidligere ført tilsyn med etterlevelsen av denne forskriften. Kontrollenes formål har vært å avklare om virksomhetenes organisering og journalføring er av en slik karakter at forskriften kommer til anvendelse og i hvilken grad forskriftens krav er oppfylt. Dersom organiseringen av virksomheten ikke faller inn under forskriftens virkeområde, har Datatilsynet kontrollert om det er gitt tilganger til pasientjournaler på tvers av virksomhetsgrenser og om nødvendige avtaler for behandlingen av opplysninger har eksistert. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Ragna Eikanger, leder Alta legevakt - Gøril Karlsen, leder for Alta kommunes helseavdeling - Berit Sofie Bongo, enhetsleder spesialistpoliklinikk Alta klinikk Hammerfest - Frode Øvrejord, kommuneoverlege - Tone Mauseth, avdelingsleder Alta sykestue - Tore Mannsverk, IKT-ansvarlig Alta kommune 2.2 Fra Datatilsynet: - Camilla Nervik, seniorrådgiver, juridisk avdeling - Grete Alhaug, seniorrådgiver, juridisk avdeling - Marius Engh Pellerud, rådgiver, tilsyns- og sikkerhetsavdelingen 1 av 6

2 3 Generelt om virksomheten Alta sykestue Alta sykestue er en del av Alta helsesenter. Alta helsesenter har gitt navn til den såkalte «Altamodellen». Denne modellen består i å organisere kommunale helsetjenester og spesialisthelsetjenester i et felles bygg for å oppnå samarbeid og samhandling, og effektiv distriktsmedisin. Alta sykestue er en «halvannenlinjetjeneste» mellom kommunehelsetjenesten og spesialisthelsetjenesten. Sykestua beskrives av virksomheten som et mellomnivå mellom sykehus og kommunale tjenester. Alle medarbeidere i sykestua er kommunalt ansatt, og kommunen har ansatt egne leger til å betjene denne helsetjenesten. Senteret har 9 behandlingsplasser, bestående av blant annet kommunale korttidsplasser, fødestue, cellegiftbehandling og dialyse. Sykestua står også for kommunal legevakttjeneste om natta. Pasientgruppa på sykestua er pasienter som uten dette tilbudet ville vært på sykehus, det vil si de som trenger daglige legetilsyn. Det fins egne lokaler for behandlinger med dialyse og cellegift/cytostatika i sykestua. Disse tjenestene utføres av ansatte med særlig kompetanse på området. Tjenestene er underlagt Helse Finnmark og/ eller UNN og anses å være en del av spesialisthelsetjenesten. Datamaskiner og systemene som benyttes i forbindelse med behandlingen er plassert i egne lokaler og de ansatte har begrenset tilgang. Sykestua er finansiert i fellesskap av kommunen, Helse Finnmark HF og Helse Nord RHF. Kommunen fakturer HF for tjenestene som ytes av kommunalt ansatte i sykestua. Spesialisthelsetjenestene i sykestua er underlagt faglige retningslinjer fra Helse Finnmark HF. Pasientene meldes til NPR. 4 Reguleringen av tilgang til journalopplysninger på tvers av virksomheter 4.1 Utgangspunktet i helseregisterloven 13 Helseregisterloven 13 første ledd første punktum oppstiller som utgangspunkt et krav om at kun databehandlingsansvarlig, databehandler og personell som arbeider under disses instruksjonsmyndighet kan gis tilgang til helseopplysninger. Dette forhindrer at flere virksomheter kan ha felles journalsystem, og at det gis tilganger på tvers av virksomhetsgrenser. I tillegg kan det gis forskrifter som unntar virksomheter fra forbudet om tilgang på tvers, jf. 13, andre ledd. 4.2 Databehandlingsansvarlig og personell under dennes instruksjonsmyndighet Helseregisterloven 13 tillater at personell som er under den behandlingsansvarliges instruksjonsmyndighet kan gis tilgang til helseopplysninger. Dette omfatter både egne ansatte og annet personell som gjennom tilstrekkelig avtaleverk reelt sett er underlagt instruksjonsmyndigheten til den ansvarlige for behandlingen av helseopplysningene. 2 av 6

3 For å sikre reell instruksjonsmyndighet mener Datatilsynet at slike avtaler må inngås direkte mellom den behandlingsansvarlige og personellet, tilsvarende som situasjonen ville være ved et ansettelsesforhold. 4.3 Databehandleravtaler Helseregisterloven 13 åpner også for at det gis tilgang til data for andre enn ansatte i virksomheten dersom disse anses som databehandlere. En databehandler kan ikke behandle helseopplysninger på annen måte enn det som er skriftlig avtalt med den databehandlingsansvarlige, jf. lovens 18. En gyldig databehandleravtale må omfatte alle behandlinger en databehandler kan gjøre i medhold av avtalen. Behandlinger som ikke følger av avtalen vil mangle rettslig grunnlag, og blant annet komme i konflikt mot forbudet i helseregisterloven Forskrift om virksomhetsovergripende pasientjournal i formalisert arbeidsfellesskap virkeområde I helseregisterloven 6 b er det gitt hjemmel for å gi forskrift om virksomhetsovergripende behandlingsrettede registre i formaliserte arbeidsfellesskap. Med hjemmel i forskriften kan det opprettes felles journalsystem på tvers av virksomheter under følgende forutsetninger: 1. Det eksisterer et formalisert arbeidsfellesskap. Dette er i loven definert som et samarbeid mellom to eller flere virksomheter som tydelige fremstår som en enhet. 2. Det felles journalsystemet erstatter andre virksomhetsinterne journaler i fellesskapet, jf. helseregisterloven 6 b, tredje ledd. 3. Det skal inngås en skriftlig avtale om felles journal. Avtalen skal være skriftlig, og tilfredsstille kravene til innhold som følger av forskriften 3. Avtalen skal inneholde virksomhetenes navn og adresse, en beskrivelse av oppgaver og tjenester det samarbeides om, navn og adresse på den databehandlingsansvarlige, navn og adresse på eventuelle databehandlere og en beskrivelse av hvor pasientjournalene skal overføres når arbeidsfellesskapet opphører. 4.5 Tilgangsstyring Uavhengig av hvilket avtaleverk som danner grunnlag for tilgangen, skal tilgang til opplysninger styres ut fra behov. Det skal kun gis tilgang til de opplysningene som er nødvendige for å kunne gjennomføre formålet, i dette tilfellet helsehjelp. Rammene for helsepersonells taushetsplikt uttrykker også dette prinsippet, og det følger av de alminnelige bestemmelsene i personvernlovgivningen. Det vises særlig til personopplysningsloven 13, personopplysningsforskriften 2-11 og 2-14, samt helseregisterloven 13. Forskriften krever at arbeidsfellesskapet kun skal gi tilganger til journalen etter tjenstlig behov og i samsvar med taushetsplikten, jf. 5. Virksomhetene skal i tillegg ha nødvendige informasjonssikkerhetstiltak etter helseregisterloven og personopplysningsforskriften. 3 av 6

4 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Kort om behandling av helseopplysninger i Alta sykestue Det benyttes flere pasientjournalsystemer i sykestua: Visma Omsorg Profil: benyttes til journalføring av kommunehelsetjenester. Tilganger til Profil gis av enhetsleder ved sykestua. Autoriseringen er rollebasert. Winmed Almen: Profil mangler enkelte nødvendige funksjoner, og Winmed benyttes derfor til eresept, til å skrive ut resepter, henvisninger samt til innhenting av prøvesvar. Legene logger inn som seg selv, og angir kontakttype «Alta sykestue». På denne måten kan det sendes melding via Norsk Helsenett direkte til pasientenes fastleger og sykehus om det er behov for oppfølging. Prøvesvar og kommunikasjon fra fastleger og sykehus kommer direkte til innboksen til Alta sykestue. Enhetsleder ved sykestua har ansvar for at de ansatte har korrekt tilgang til Winmed. DIPS: For de tjenestene som regnes som en del av Helse Finnmark HF brukes DIPS som journalsystem. Dette gjelder behandling med cellegift og dialyse. Tilgangen til DIPS gis til dedikerte personer som utøver de nevnte tjenestene og som har oppfølgingsansvar overfor den enkelte pasienten. Enhetsleder ved sykestua bestiller tilganger til DIPS fra Helse Finnmark HF. Dersom ansatte i sykestua har behov for opplysninger som er registrert i DIPS, kan disse kun innhentes gjennom å ta kontakt med Helse Finnmark HF. 5.2 Datatilsynets vurderinger Helsepersonellet i Alta sykestue er ansatt i Alta kommune. Den behandling av personopplysninger som skjer når Alta sykestue benytter Winmed og Profil skjer av ansatte i Alta kommune. Denne behandlingen skjer dermed fullt og helt under kontrollen til kommunen som databehandlingsansvarlig, og rammes ikke av forbudet mot tilgang på tvers av virksomheter. Når det gjelder behandlingen av personopplysninger i DIPS stiller det seg annerledes. Databehandlingsansvarlig for personopplysningene i DIPS er Helse Finnmark HF, jf. helseregisterloven 6 andre ledd. Brukerne av journalen i sykestua er ansatte i Alta kommune. Dermed foreligger ingen direkte instruksjonsmyndighet fra den databehandlingsansvarlige til brukerne av systemet gjennom et arbeidsgiverarbeidstakerforhold. Utgangspunktet om forbud mot tilgang på tvers av virksomheter kan fravikes dersom det enten foreligger en reell instruksjonsmyndighet fra databehandlingsansvarlige, en gyldig databehandleravtale eller dersom det er tillatt i henhold til forskrift gitt i medhold av helseregisterloven 6 b. 4 av 6

5 5.2.1 Omfattes sykestua av forskriften? Datatilsynet har vurdert om sykestuas bruk av DIPS kan hjemles av forskriften. Forskriften hjemler tilgang på tvers kun til formaliserte arbeidsfellesskap. Det kreves av et slikt arbeidsfellesskap at alle deltakerne i fellesskapet i utgangpunktet har rollen som databehandlingsansvarlig (selv om fellesskapet etter avtale inngåelse kan velge utpeke en felles databehandlingsansvarlig, jf. forskriftens 4 første ledd). Helsetjenestene som benytter DIPS er underlagt Helse Finnmark HFs behandlingsansvarlig. Ettersom Alta kommune ikke er databehandlingsansvarlig for noen opplysninger i DIPS har ikke kommunen anledning til å inngå i et formalisert arbeidsfellesskap etter denne forskriften. Forskrift om virksomhetsovergripende pasientjournal i formaliserte arbeidsfellesskap kommer dermed ikke til anvendelse. Et krav for at forskriften skal kunne komme til anvendelse er også at fellesskapet skal framstå som en enhet. Under kontrollen kom det fram at Helse Finnmark HF og Alta kommune ikke anser det som at de to virksomhetene framstår som en enhet i sykestua og at det er tydelig for pasientene at de behandles av Helse Finnmark HF når de får cellegiftbehandling eller dialyse. Datatilsynet har ikke vurdert dette selv, men forstår virksomhetene slik at de mener sykestua ikke omfattes av forskriften. Datatilsynet er enige i denne vurderingen Instruksjonsmyndighet gjennom avtaler Avtale om utføring av helsehjelp For at tilgangen de ansatte i kommunen gis til Helse Finnmark HFs helseopplysninger ikke skal komme i strid med helsepersonelloven 13, må det foreligge avtaler som sikrer helseforetaket reell instruksjonsmyndighet over personellet. Avtalene må omfatte rammene for hvordan helseopplysninger skal behandles. Samarbeidet mellom Alta kommune og Helse Finnmark HF om ytelse av spesialisthelsetjenester er regulert av en overordnet samarbeidsavtale og i en serie tjenesteavtaler. Datatilsynet fikk under den stedlige kontrollen utlevert tjenesteavtale 5 om ansvars- og oppgavefordeling ved opphold i, og utskrivning av pasienter fra spesialisthelsetjenesten og tjenesteavtale 9 om samarbeid om IKT-løsninger lokalt. Det er ikke etablert avtaler som sikrer Helse Finnmark direkte instruksjonsmyndighet over helsepersonellet som er ansatt i Alta kommune, men som utøver helsehjelp i regi av helseforetaket. Dette er å anse som avvik fra helseregisterloven Databehandleravtale Avtalen mellom Alta kommune og Helse Finnmark HF om poliklinikken i Alta sykestue anses ikke som en databehandlerrelasjon som kan reguleres gjennom en databehandleravtale. Datatilsynet finner det også tvilsomt at en kommune kan ha rollen som databehandler for en annen databehandlingsansvarlig når behandling av personopplysninger kun er en sekundæroppgave - der det å yte helsehjelp er det primære. 5 av 6

6 5.3 Tilgangsstyring Virksomhetenes arbeid med informasjonssikkerhet ble ikke generelt behandlet under kontrollen. Kun virksomhetenes rutiner for tilgangsstyring til felles journal var et tema på den stedlige kontrollen. Tilganger til DIPS gis av Helse Finnmark HF. I DIPS har medarbeiderne i Alta kommune kun tilgang til opplysninger om pasienter ved avdelingen for dialyse eller cellegiftbehandling ved sykestua. De har også kun tilgang til opplysninger om de pasienter som for tiden er innskrevet. DIPS er kun tilgjengelig på maskiner som står på rom der cellegiftbehandling og dialyse skjer. Risikoen at opplysninger flyter mellom DIPS og kommunens systemer framstår som forsvinnende liten. Bruken av journalsystemer, og det at DIPS kun skal brukes til cellegift og dialyse, er en del av Sykestuas dokumentasjonsrutiner. Disse skal alle ansatte ved sykestua gjøre seg kjent med ved oppstart av arbeidsforholdet. Datatilsynet vil ikke påpeke avvik fra reglene om tilgangsstyring. Likevel vil vi påpeke at tilgangsstyring bør behandles i avtaler om journaltilgang. 6 av 6