Kontroll av reseptformidleren endelig kontrollrapport

Transkript

1 Helsedirektoratet Postboks 7000 St Olavs plass 0130 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/ / /MEP 27. februar 2014 Kontroll av reseptformidleren endelig kontrollrapport Vi viser til vårt varsel om vedtak og foreløpig kontrollrapport av 8. januar og Helsedirektoratets tilsvar av 3. februar 2014 angående Datatilsynets kontroll hos Helsedirektoratet den I sitt brev av 3. februar har Helsedirektoratet gitt kommentarer til foreløpig kontrollrapport. Datatilsynet tar Helsedirektoratets kommentarer til etterretning og har gjort endringer i endelig kontrollrapport (vedlagt). I sitt tilsvar redegjør Helsedirektoratet for gjennomførte og påbegynte tiltak for å lukke Datatilsynets pålegg. Datatilsynet forstår de tiltakene som er påbegynt som manuelle og stikkprøvebaserte. F.eks. vil Helsedirektoratet sende ut 1000 brev til innbyggere der det har vært oppslag som ikke har ført til utlevering. Verktøy for automatisk analyse av oppslag, muligheten for å vise pasienten logg over oppslag i «Mine resepter» og varsling på e-post ved oppslag eller nedlasting er foreløpig kun under utredning. Reseptformidlerforskriften stiller krav om planlagte, systematiske og dokumenterte tiltak, jf. forskriftens 4-3. Datatilsynet anser det som ønskelig at det etableres automatiske løsninger for varsling av mulig snoking. Det er likevel ikke slik at forskriften krever dette. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt OSLO

2 Datatilsynet vurderer det slik at de pågående og planlagte tiltakene oppfyller forskriftens krav. Datatilsynet finner det derfor ikke hensiktsmessig å fatte vedtak som varslet. Derimot ønsker vi å holdes orientert om arbeidet med tiltak for håndtering av snoking i Reseptformidleren framover. Vi ber derfor om tilbakemeldinger om status for arbeidet og at vi holdes orientert ved kontaktmøter med Helsedirektoratet. Med vennlig hilsen Helge Veum avdelingsdirektør Marius Engh Pellerud rådgiver Vedlegg: Endelig kontrollrapport 2

3 Saksnummer: 13/01268 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Helsedirektoratet Sted: Oslo Utarbeidet av: Grete Alhaug Marius Engh Pellerud 1 Innledning Datatilsynet gjennomførte kontroll hos Helsedirektoratet Kontrollen ble gjort med hjemmel i lov om behandling av helseopplysninger av 18. mai 2001 nr. 24 (helseregisterloven) 31. Helsedirektoratet er databehandlingsansvarlig for Reseptformidleren, det sentrale systemet for håndtering av elektroniske resepter. Temaet for kontrollen var Helsedirektoratets oppfyllelse av reseptformidlerforskriften 4-3. Denne bestemmelsen pålegger Helsedirektoratet å gjennomføre tiltak for å avdekke og følge opp snoking i løsningen. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Anne-Liste Härter, avdelingsdirektør i avdeling for kjernejournal og e-resept (EIKE) - Ingar Dahl, seksjonssjef avdeling EIKE - Rune Røren, utviklingsdirektør i avdeling EIKE - Trond Bechmann, sikkerhetsleder i avdeling EIKE - Eivin Reyes, løsningsansvarlig e-resept - Ellef Mørk, sikkerhetsleder i Helsedirektoratet og personvernombud 2.2 Fra Datatilsynet: - Grete Alhaug, seniorrådgiver, juridisk avdeling - Marius Engh Pellerud, rådgiver, tilsyns- og sikkerhetsavdelingen 3 Generelt Fra februar 2013 er e-reseptordningen innført i samtlige kommuner i Norge. E-resept består av mange aktører i helsesektoren: fastleger, HELFO, apoteker, bandasjister, Statens legemiddelverk med flere. Helsedirektoratet er databehandlingsansvarlig for Reseptformidleren; den nasjonale databasen for elektroniske resepter. Reseptformidleren er et sentralt helseregister, jf. helseregisterloven 8 tredje ledd nummer 9 og er hjemlet i Reseptformidlerforskriften. 1 av 5

4 4 Om behandling av personopplysninger i E-resept 4.1 Samhandlingen i E-resept En elektronisk resept starter hos en forskriver, typisk hos en fastlege. Fastlegen tar utgangspunkt i informasjon vedkommende henter fra modulen for Forskrivningsstøtte (FEST). Legen skriver så en e-resept som legges i Reseptformidleren. Når pasienten ønsker å hente ut det som er foreskrevet av legemidler, medisinsk forbruksmateriell eller næringsmidler oppsøker pasienten apotek eller bandasjist (utleverer). Utleverer gjør et oppslag i Reseptformidleren for å se om pasienten har en eller flere gyldige e-resepter. Hvis dette er tilfelle velger utlevereren den resepten som er aktuell og laster den ned. Utleverer får dermed tilgang til personopplysninger fra Reseptformidleren på to måter: ved oppslag og ved nedlasting. Når utlevereren har lastet ned resepten utleverer han i de fleste tilfeller det foreskrevne produktet (medisin eller annet) til pasienten. Om det kan hentes ut flere på produkter på samme resept blir e-resepten liggende i Reseptformidleren. Om resepten er ferdig ekspedert blir den slettet etter en periode. Når legemiddelet er hentet ut sendes en melding til forskrivende lege. Det sendes også en melding til pasientens fastlege om pasienten samtykker til det. I normale tilfeller vil oppslag i og nedlasting fra Reseptformidleren føre til utlevering av et produkt til pasienten. Det er mange legitime årsaker til å gjøre oppslag uten utlevering av vare, f.eks. utskrift av reseptliste til innbygger, informasjon om at gyldig resept foreligger, apoteket har ikke ønsket vare, forespurt resept fins ikke reseptformidleren, med mer. Dersom utlevering av produkt ikke skjer sender utlevereren en såkalt kanselleringskode til Reseptformidleren. Denne koden skal angi hvorfor oppslaget skjedde uten at det skjedde en utlevering av vare. Kanselleringskodene er: 1. Ikke ønsket vare 2. Utgått resept 3. Uavhentet vare 4. Annen årsak 5. Utskrift til kunde 6. Apotek mangler vare 7. Forespurt resept finnes ikke i RF 8. Multidosepakking Kodene 1 til og med 5 er i bruk i dag. Kodene 6, 7 og 8 kommer i Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Regelverkets krav Reseptformidlerforskriften har en bestemmelse om tiltak for avdekking og håndtering av snoking i Reseptformidleren. Reseptformidlerforskriften 4-3 andre ledd lyder «Utlevering av reseptopplysninger til apotek eller bandasjist som ikke er knyttet til en utlevering av 2 av 5

5 legemidler, medisinsk forbruksmateriell eller næringsmidler, skal følges opp av Helsedirektoratet». Bestemmelsen sier ikke hva disse tiltakene skal være og hvor langt Helsedirektoratets plikt til å følge opp mulige tilfeller av snoking strekker seg. Forarbeidende gir heller ingen indikasjoner på dette. 5.2 Helsedirektoratets tiltak for oppfølging av utlevering av reseptopplysninger uten utlevering av vare Helsedirektoratet har ikke etablert noen rutinemessige tiltak for å oppfylle kravene i reseptformidlerforskriften 4-3 andre ledd. Enkelte tiltak som gjennomføres kan imidlertid sies å være relevant for bestemmelsen likevel. Nærmere om disse tiltakene i det følgende Logging og statistikk over utlevering av personopplysninger fra Reseptformidleren Utlevering av personopplysninger skal logges i Reseptformidleren, jf. reseptformidlerforskriften 4-3 første ledd. Helsedirektoratet logger alle utleveringer av personopplysninger fra Reseptformidleren. Apotekene gjør oppslag i Reseptformidleren med brukernavn og passord som apotekene selv har tilordnet. Loggingen i Reseptformidleren er dermed ikke entydig knyttet til den ansatte i apoteket som har gjort oppslaget, men kan knyttes til person ved henvendelse til apoteket. Tilsvarende gjelder for bandasjistene. Datatilsynet ser på dette som en ikke-optimal løsning, mer anser dette likevel ikke i strid med regelverkets krav til logging, jf. personopplysningsforskriften 2-8 tredje ledd og 2-14 andre ledd. Datatilsynet har fått en oversikt over utlevererenes bruk av e-resept fra desember 2012 til november Datatilsynet har bearbeidet disse tallene noe under arbeidet med denne kontrollen. Vi har sett på tallene fra januar, juni og november Tallene fra januar 2013 avviker fra tallene fra juni og november samme år hva gjelder andel oppslag og nedlastinger som ikke førte til utlevering av vare. Dette kommer trolig av at løsningen var ny og ukjent. Tallene fra juni og november er sammenlignbare og er trolig mer representative. I november 2013 ble det foretatt 26 millioner oppslag i Reseptformidleren. 8,6 % av disse oppslagene førte ikke til utlevering av vare. Samme måned ble det gjort 7 millioner nedlastinger av resepter. 6,7 % av disse førte ikke til utlevering av vare. Det foretas dermed en betydelig mengde uthenting av personopplysninger fra Reseptformidleren som ikke fører til utlevering av produkt. Helsedirektoratet har ingen statistikk for bruken av de ulike kanselleringskodene. I følge Helsedirektoratet fins det flere legitime grunner til uthenting av personopplysninger fra Reseptformidleren uten at det skjer noen utlevering av vare. En grunn er at apotek skriver ut kunders reseptliste som en tjeneste til kunden. En annen er at utleverer vil undersøke om en resept er elektronisk i tilfeller der kunden har både resepter på papir og på elektronisk form. Det siste har det trolig vært mange av det siste året i forbindelse med utrullingen av e-resept. 3 av 5

6 Ettersom Helsedirektoratet ikke har noen oppfølging av data om bruk av kanselleringskoder går det ikke an å si noe om i hvilken grad uthentingen i Reseptformidleren som ikke førte til utlevering av vare har vært legitime eller ikke Informasjon til den registrerte På nettportalen helsenorge.no fins tjenesten Mine resepter. Her kan alle innbyggere logge inn og få en oversikt over den informasjonen som er registrert om en i Reseptformidleren. I tillegg til informasjon om personens resepter ligger informasjon om foretatte nedlastinger, dvs. resepter som er hentet ned av et apotek. Dette for at personen selv kan kontrollere utleverte personopplysninger om en selv. Personen ser ikke oppslag i reseptoversikten som er gjort på en selv i reseptformilderen, kun nedlastinger. Datatilsynet ser på dette som et positivt tiltak og en god måte å implementere helseregisterlovens bestemmelser om rett til innsyn i logg, jf. 13 sjette ledd. Tiltaket ville vært bedre om også oppsalg i reseptoversikten var synlig forro den registrerte. Denne tjenesten er imidlertid ikke et tiltak som kan sies å oppfylle reseptformidlerforskriftens krav om oppfølging fra Helsedirektoratets side, jf. 4-3 andre ledd Risikovurdering Helsedirektoratets egen risikovurdering inneholder vurdering av risiko ved at Helsedirektoratet ikke kan oppdage snoking. Sannsynligheten for at faktisk snoking ikke oppdages er beskrevet som høy og konsekvensene som alvorlige. Helsedirektoratet presiserte at sannsynligheten for at snoking faktisk skjer er lav. Skulle snoking faktisk skje er det vurdert som usannsynlig at Helsedirektoratet vil oppdage dette. I riskovurderingen har Helsedirektoratet satt opp en serie risikoreduserende tiltak. Disse er 1. Etablere «levende» ROS 2. Implementere verktøy for bedre oppfølging av analyselogger 3. Etablere en ny rutine for regelmessig kontroll av logger 4. Vurdere mulighet for å vise oppslag av reseptliste for innbygger 5. Sikre at apotek er informert om sin plikt til å etterleve Normens krav ifm snoking 6. Vurdere om utleverere/rekvirenter kan pålegges regelmessig kontroll av forskriftens 4-3 andre ledd 7. Vurdere bruk av stikkprøver Tiltak 1 og 4 kan sies å være delvis implementert. De andre tiltakene er ikke implementert og det fins heller ingen plan for å gjennomføre dem. 5.3 Oppsummering og konklusjon Helsedirektoratet gjør ikke et systematisk arbeid for å avdekke snoking i Reseptformidleren. Det lages noe statistikk basert på utlevering av personopplysninger fra løsningen, men ikke på en slik måte at det kan brukes til å vurdere normal legitim bruk og avvik fra dette. Det foretas ingen automatiserte kontroller av oppslag. 4 av 5

7 Helsedirektoratet oppfyller ikke sin plikt til å avdekke snoking i Reseptformidleren, jf. reseptformidlerforskriften 4-3 andre ledd, jf. helseregisterloven 8 tredje ledd nummer 9. 5 av 5