Kontrollrapport. Kontrollobjekt: Bærum kommune Sted: Bærum

Transkript

1 Saksnummer: 14/01295 Dato for kontroll: Rapportdato: Kontrollrapport Kontrollobjekt: Bærum kommune Sted: Bærum Utarbeidet av: Camilla Nervik 1 Innledning og bakgrunn for kontrollen I desember 2014 gjennomførte Datatilsynet en serie med kontroller av den behandlingen av personopplysninger som skjer ved bruk av velferdsteknologi. I den forbindelse gjennomførte Datatilsynet en kontroll av Bærum kommune 16. desember Kontrollen ble gjennomført med hjemmel i personopplysningsloven 44, jf. 42 og daværende helseregisterlov 31. Kontrollen ble gjennomført på Bærum rådhus. Velferdsteknologi er teknologiske løsninger som er ment brukt i utøvelsen av helse- og omsorgstjenester. Formålet med kontrollene var primært å innhente informasjon om behandling av personopplysninger til slike formål, for å kunne danne et bilde av hvordan vi bør arbeide videre med dette feltet. Datatilsynet ønsket også å vurdere ansvarsforhold, rettslig grunnlag, herunder samtykke, innsamling, lagring og informasjonssikkerhet ved bruk av velferdsteknologi. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. Den 1. januar 2015 trådte ny helseregisterlov og pasientjournallov i kraft, og helseregisterloven av 2001 ble opphevet. Kontrollen ble gjennomført etter tidligere helseregisterlov. Eventuelle vedtak vil imidlertid vurderes etter ny helseregisterlov/pasientjournalloven. I kontrollrapporten viser vi til det regelverket som er gjeldende på rapport- og vedtakstidspunktet, men med henvisning til det regelverket som gjaldt på kontrolltidspunktet i parentes. Vi vurderer at lovendringene ikke har betydning for det materielle innholdet i rapporten eller våre varslede pålegg om vedtak. 2 Tilstede under kontrollen 2.1 Fra virksomheten Bovild Tjønn, Kommunalsjef, Pleie og omsorg Kristin Standal, Enhetsjef, PLO helseinformatikk Tone Rokseth, Fag- og kvalitetsleder, pleie og omsorg Trond Sundby, Avdelingsleder, IT enheten avd sikkerhet Jan Henrik Haugen Olsen, Spesialkonsulent, IT enheten, virksomhetsarkitektur Odd Harald Amundsen, Personvernombud, advokat, Kommuneadvokaten 1 av 6

2 Ann-Kristin Smilden, Spesialrådgiver/prosjektleder, PLO helseinformatikk Tove Tegelsrud Topaas, Prosjektleder, PLO Helseinformatikk Torge Øverli, Prosjektleder, PLO helseinformatikk Jannike Henriksen Nyiredy, PLO helseinformatikk 2.2 Fra Datatilsynet Camilla Nervik, seniorrådgiver Ted Tøraasen, overingeniør 3 Om Bærum kommune Bærum kommune har en sterk satsing på velferdsteknologi, og deltar i en rekke prosjekter som har som formal å prøve ut slik teknologi. Bærum kommune har forut for tilsynet oversendt en oversikt over tjenester og prosjekter som er relevante ved vurderingen av bruk av velferdsteknologi i kommunen og behandlingen av personopplysninger i denne forbindelse. Velferdsteknologi er kun i alminnelig drift i Trygghetsalarmen. I tillegg benyttes velferdsteknologi i følgende prosjekter: Trygge spor 1 og 2: Lokaliseringsteknologi, GPS Trygghetspakken: Mobil trygghetsalarm og medisindispenser Active: nettbrett Aktive spor: smarttelefon med GPS Elektroniske nøkler Samhandling og driftsstøtte: Elektronisk whiteboard 4 Funn og avvik fra personvernregelverket 4.1 Trygghetspakken I trygghetspakken prøver Bærum kommune ut to tjenester, medisindispenseren Pilly og mobil trygghetsalarm Medisindispenseren Pilly Pilly medisindispenser blir levert av Dignio, og den ble på kontrolltidspunktet utprøvd av 6 brukere i kommunen. Alle deltakerne har samtykket til deltakelse i prosjektet. Medisindispenseren har innebygd SIM-kort, og alarmer som sendes fra dispenseren går via SMS til kommunen. I dokumentasjonen Datatilsynet har fått oversendt forut for kontrollen opplyses det at leverandøren ikke behandler personopplysninger ved bruk av Pilly, og at pasientene er anonymiserte. Hvilke legemidler dispenseren inneholder og dosering er heller ikke kjent for Dignio. Kommunen har vurdert at det derfor ikke er nødvendig med databehandleravtale med Dignio. 2 av 6

3 Datatilsynet gjorde ikke under kontrollen en grundig vurdering av om Dignio behandler personopplysninger på vegne av Bærum kommune ved bruk av Pilly. Av dokumentasjonen vi har fått tilsendt forut for kontrollen, går det frem at en navngitt person hos Dignio har tilgang til Dignio Prevent, som er administrasjons- og alarmsystemet tilhørende medisindispenseren. Denne tilgangen innebærer at Dignio behandler opplysninger på vegne av Bærum kommune, noe som etter personopplysningsloven 15 utløser krav om databehandleravtale. Bærum kommune hadde forut for kontrollen oversendt en databehandleravtale mellom kommunen og Dignio, men denne omhandler etter Datatilsynets oppfatning ikke behandlingen av opplysninger som skjer i forbindelse med bruk av Pilly. Dette er å anse som et avvik fra kravene i personopplysningsloven Mobil trygghetsalarm I Trygghetspakken tilbys også mobil trygghetsalarm, og dette er under utprøving. På kontrolltidspunktet var det ca 10 brukere i kommunen som testet ut mobil trygghetsalarm. Alarmen leveres av Safemate. Kommunen har også en avtale med SOS International som mottar alarmene som utløses. Utprøvingen av mobile trygghetsalarmer gjøres i et prosjekt i samarbeid med SINTEF, og deltakelse er basert på samtykke fra den enkelte. På kontrolltidspunktet hadde ca 10 brukere mobil trygghetsalarm for testing i kommunen. Kommunen hevder at brukerne ble anonymisert, og at koblingslisten til identitet blir håndtert av utprøvingsansvarlig på tjenestested. Datatilsynet stilte spørsmål under kontrollen ved om dette var anonyme opplysninger. Ettersom det finnes en koblingsliste, vil det være mulig å tilbakeføre opplysningene til enkeltpersoner. Vi mente også at det ut fra lokasjonsmønsteret vil være lett å finne ut hvor de ulike brukerne har vært, og dermed mulig å identifisere f eks brukernes bolig og dermed personene. Datatilsynet mener at risikoen for identifisering vil være stor og at GPSlokasjonene må være å anse som personopplysninger. Det var inngått avtaler med både Safemate som leverandør og databehandler og SOS International som databehandler. Avtalen med Safemate AS 1 som regulerer behandling av opplysninger er fremlagt i forbindelse med kontrollen. Denne regulerer Safemates tilgang til dataene som genereres av utstyret som brukes. I dokumentasjonen Datatilsynet fikk oversendt forut for kontrollene ligger også avtalen «Vilkår for Safemateabonnement levert av Safemate AS». Denne regulerer til en viss grad behandlingen av opplysninger som skal gjøres av Safemate AS. Avtalen er etter Datatilsynets oppfatning en avtale mellom Safemate AS og sluttbruker, og er ikke velegnet til å regulere forholdet mellom Safemate AS og Bærum kommune. 1 Rutiner og prosesser knyttet til persondata i tjenester levert av Safemate AS 3 av 6

4 Behandlingen av opplysninger som gjøres av SOS International i tilknytning til mobil trygghetsalarm er ikke regulert gjennom særskilt avtale, men det er inngått en generell databehandlingsavtale mellom Bærum kommune og SOS International. Datatilsynet har blitt forelagt databehandleravtale som er inngått mellom Bærum kommune og SOS International, datert 16. desember Avtalen har retningslinjer for hvordan SOS International kan behandle personopplysninger på vegne av Bærum kommune. Den er ikke spesifisert for Trygghetsalarmtjenesten eller for Mobil trygghetsalarm, og den inneholder ikke bestemmelser om hvem som skal ha tilgang til dataene og til hvilke formål. En databehandler kan kun behandle personopplysninger i den grad dette er regulert i avtale med databehandlingsansvarlige. Datatilsynet vurderer at avtalen mellom SOS International er av for generell karakter, og at den ikke er dekkende for den faktiske behandlingen som skjer i de to forskjellige tjenestene som leveres. Vi peker særlig på at tilgangen til opplysninger hos SOS International ikke er regulert i avtalen. Dette er å anse som et avvik i forhold til de kravene som personopplysningsloven 15 oppstiller. Datatilsynet har ikke blitt forelagt dokumentasjon som viser vurderingene som ligger til grunn for tilgangene Safemate AS og SOS International har til personopplysninger som behandles i den mobile trygghetsalarmen. Det er heller ikke foretatt en risikovurdering knyttet til den behandlingen Safemate AS gjør på vegne av Bærum kommune. Datatilsynet anser at den manglende vurderingen av og dokumenteringen av tilgangene til personopplysninger er et avvik fra pasientjournalloven 23 og personopplysningsloven 14. Datatilsynet anser videre at de manglende risikovurderingene er avvik fra kravene i pasientjournalloven 22 og personopplysningsloven 13, jf. personopplysningsforskriften Active I dette prosjektet gis brukerne nettbrett, og formålet er å oppnå sosial kontakt og samhandling, og nettbrettet skal være en støtte i hverdagen. I prosjektet studeres tiltak og velferdsteknologiløsninger som kan bidra til at eldre skal kunne bo lenger i sin egen bolig. Det undersøkes om nettbrettet kan brukes som kommunikasjonsmiddel for helsepersonell og beboere i Dønski bolig med service. I tilknytning til prosjektet gjennomføres det også intervjuer med de som har fått nettbrettet om deres erfaringer. Prosjektet er basert på samtykke fra de som deltar. Det behandles ikke sensitive personopplysninger i dette prosjektet. 4.3 GPS-prosjekter Bærum har to pågående GPS-prosjekter; Trygge Spor og Aktive spor. 4 av 6

5 Aktive spor har på kontrolltidspunktet en aktiv bruker som har samtykket til deltakelse. I dette prosjektet prøves det ut smarttelefoner med GPS, og formålet er lokalisering av brukerne. Trygge Spor er et prosjekt som driftes av SINTEF, og i Bærum kommune er det på kontrolltidspunktet ca 15 aktive brukere. All deltakelse er basert på samtykke fra den registrerte selv. Protokollen for prosjektet Trygge Spor er sendt Datatilsynet i etterkant av tilsynet. Prosjektet er godkjent av Regional etisk komite (REK). Behandlingen av opplysninger i Trygge Spor ble ikke behandlet særskilt under kontrollen, men problemstillingene ble diskutert generelt for behandling av opplysninger i forbindelse med velferdsteknologitjenester. Vi påpeker at kravene til risikovurderinger, databehandleravtaler, herunder reglering av tilgang til opplysningene også gjelder for disse prosjektene. Vurderingene vi har gjort i tilknytning til mobile trygghetsalarmer gjelder tilsvarende for GPS-prosjektene. 4.4 Elektroniske nøkler Elektroniske nøkler prøves ut av ansatte hos ca 50 mottakere av hjemmetjenester i Bærum kommune. I forbindelse med bruken av nøklene behandles det opplysninger om de ansatte til en viss grad, og kommunen har gjennomført en risikoanalyse knyttet til behandlingen av personopplysninger. Dette faller utenfor fokusområdet for Datatilsynets kontroll med bruk av velferdsteknologi, og vi har derfor ikke vurdert denne løsningen nærmere. 4.5 IMATIS Samhandling og prosesstøtte: Elektronisk whiteboard Dette prosjektet har som mål å bedre og effektivisere samhandlingen i helse- og omsorgstjenesten i kommunen. Tildelingskontoret i kommunen har også innsyn i opplysningene, men ser et annet oppsett enn det som vises de som skal yte tjenestene. Datatilsynet vurderer at dette prosjektet behandler personopplysninger i begrenset utstrekning, og at det faller utenfor fokusområdet for kontrollene med bruk av velferdsteknologi. 4.6 Trygghetsalarm Bærum kommune benytter SOS International for håndtering av trygghetsalarmer, og de behandler derfor personopplysninger på vegne av kommunen. Datatilsynet har blitt forelagt databehandleravtale som er inngått mellom Bærum kommune og SOS International, datert 16. desember Avtalen er generell, og har retningslinjer for hvordan SOS International kan behandle personopplysninger på vegne av Bærum kommune. Den er ikke spesifisert for Trygghetsalarmtjenesten eller for Mobil trygghetsalarm. En databehandler kan kun behandle personopplysninger i den grad dette er regulert i avtale med databehandlingsansvarlige. Datatilsynet vurderer at avtalen mellom SOS International er av generell karakter, og at den ikke er dekkende for den faktiske behandlingen som skjer i de 5 av 6

6 to forskjellige tjenestene som leveres. Dette er å anse som et avvik i forhold til de kravene som pasientjournalloven 5, jf. personopplysningsloven 15 oppstiller. 4.7 Rettslig grunnlag og samtykke De prosjektene som ble presentert under kontrollen er alle basert på samtykke fra de registrerte. Samtykkene er utarbeidet av SINTEF og er ment til bruk i slike utprøvende prosjekter. Datatilsynets oppfatning er at bruken av velferdsteknologi utelukkende er basert på samtykke fra de registrerte på kontrolltidspunktet. Vi vil bemerke at bruk av velferdsteknologi innen kort tid vil være en del av det ordinære tjenestetilbudet i Bærum kommune, og at det må etablere tilfredsstillende rutiner for bruk av velferdsteknologi med forskjellige former for rettslig grunnlag. Eksempelvis må avgitte samtykker vurderes rutinemessig for å sikre at de oppfyller helselovgivningen og personvernregelverkets krav til samtykker. 4.8 Konklusjoner Bærum kommune mangler tilfredsstillende databehandleravtale med databehandlere og underleverandører som behandler personopplysninger. Dette gjelder for samtlige prosjekter som ble vurdert under kontrollen. Dette forholdet er å anse som et avvik fra avtalekravet i personopplysningsloven 15 (tidligere helseregisterloven 18). Bærum kommune har ikke gjennomført tilfredsstillende risikovurderinger for behandling av personopplysninger i forbindelse med kommunens GPS-prosjekter og prosjektet Mobil trygghetsalarm. Datatilsynet anser dette som avvik fra personopplysningsloven 13, jf. personopplysningsforskriften 2-4 om krav til risikovurderinger. Bærum kommune har ikke dokumentert at det er gjennomført vurderinger av rekkevidden av tilgangene til personopplysninger i kommunens GPS-prosjekter og prosjektet Mobil trygghetsalarm. Dette anses som et avvik fra pasientjournalloven 23, jf. personopplysningsloven av 6