Saksnummer: 2005/00027 kommunikasjonkommunikasjonkommunikasjonkommunikasjonkommunikasjonkommunikasjonkom kommunikasjonkommunikasjonkommunikasjonkommunikasjonkommunikasjonkommunikasjonkom PROSJEKTRAPPORT Sikring av konfi densialitet i helseradionettet Bergen, november 2005
PROSJEKTRAPPORT TITTEL KoKom, Nasjonalt kompetansesenter for helsetjenestens kommunikasjonsberedskap Sikring av konfidensialitet i helseradionettet KoKoms hovudoppgave er å monitorere og vidareutvikle medisinsk nødmeldeteneste i Norge Postadresse: Besøksadresse: Telefon: Web: E-post: Det hvite hus Haukelandsbakken 9 5009 Bergen Haukelandsbakken 9 55 38 99 30 55 38 99 31 www.kokom.no post@kokom.no FORFATTAR (AR): (Alfabetisk) Egil Bovim, Elfinn Færevaag, Johan-Arnt Hegvik, Anne Sofie Jonassen, Runar Østerdahl Layout/red. Anne Buset Vassbotn OPPDRAGSGJEVAR(AR) Helseføretaka RAPPORTNR. DELRAPPORT OPPDRAGSGJEVAR SIN REF. PROSJEKTLEIAR: (NAMN, SIGN) 250022 Egil Bovim PROSJEKTNR. GRADERING Åpen DATO: 2005-23-11 FORSIDEILLUSTRASJON KoKom SIDETAL OG BILAG 7 sider, 1 vedlegg SAMANDRAG: I prehospitale situasjoner er det brukerne av helseradionettet som står som ansvarlig for at personidentifiserbare pasientopplysninger blir kommunisert i tråd med bestemmelsene i personopplysningsloven. På bakgrunn av Sosial- og helsedirektoratets rundskriv IS 10/2005, skisserer følgende prosjektrapport forslag til samordnede prosedyrer i helseforetakene for å sikre pasientenes konfidensialitet i helseradionettet.
1. BAGRUNN OG PROSJEKTBESKRIVELSE 2 1.1 Relevant regelverk 2 1.2 Om helseradionettet 3 1.3 Om Rundskriv IS -10/2005 3 2. PROSEDYREN GJELDER FOR 3 3. AKTSOMHETSKRAV 3 4. PRAKTISK GJENNOMFØRING 3 4.1 Generelt (kommune og helseforetak) 3 4.2 Utalarmering 4 5. KONSEKVENSER 4 5.1 Utbredning 4 5.2 Logging 4 5.3 Kompetanse 4 5.4 Ambulansetjenesten 4 5.5 AMK-sentralene 5 5.6 LV-sentralene 5 5.7 Leger i vakt 5 5.8 Sykehus/akuttmottak 6 5.9 Andre 6 6. VIDERE KOMMUNIKASJON (aksjon og tilbakemelding) 6 7. LANGSIKTIGE KONSEKVENSER 6 8. UNNTAKSBESTEMMELSER 6 8.1 Hva skal til for å bruke helseradionettet til konfidensiell informasjon? 7 9. OPPSUMMERING 7 10 KOSTNADER 7 11 VEDLEGG: IS-10/2005 8
Innledning: Sosial- og helsedirektoratet har i Rundskriv IS10/ 2005 redegjort for hvordan bestemmelsene i personopplysningsloven (Lov 2000-04-14 nr 31) er å forstå i forhold til bruk av helseradionettet. Det fremgår at personidentifiserbare opplysninger ikke kan sendes i helseradionettet. I henhold til kravene i personopplysningsloven anses heller ikke mobiltelefon (GSM/ GPRS/ UMTS) som tilstrekkelig sikker for å overføre sensitive personopplysninger, men dette godtas likevel som en midlertidig løsning inntil felles digitalt nødnett er utbygd nasjonalt. Det overordnende formål med rapporten er å bidra til at pasientens konfidensialitet blir ivaretatt også i prehospital kommunikasjon, i situasjoner der den helseansattes overordnede mål er å verne befolkningens liv og helse. (Lov om helsemessig og sosial beredskap Kap. 1) 1. BAKGRUNN OG PROSJEKTBESKRIVELSE I møte for regionale AMK-sentraler 31. mai 2005, ble KoKom bedt om å lede et prosjekt der en skisserer forslag til samordna prosedyrer for foretakene på bakgrunn av Sosial- og helsedirektoratets rundskriv, IS10/2005. I rundskrivet, som igjen er et svar på Datatilsynets pålegg om å sikre at sambandsnettet krypteres, påpekes mellom annet restriksjoner for bruk av helseradionettet - og de hensyn dette fører til for at en skal kunne ivareta pasientens personvern ved bruk av ikke kryptert radiosamband. Et videre formål med prosjektarbeidet er at en skal fremlegge et estimat av investerings- og driftskostnader som er nødvendige for å følge bestemmelsene i rundskrivet. Mens det tidligere var slik at avlytting av helseradionettet var ulovlig, påligger det nå den som benytter sambandet å sørge for at sensitiv informasjon ikke kan komme på avveier. Rapporten sammenfatter arbeidet som er gjort i foretakene. Spesielt har vi fått omfattende innspill fra Helse Øst. Relevant regelverk Lov om helsetjenesten i kommunene (Kommunehelsetjenesteloven) (LOV 1982-11-19 nr 66). Lov om behandling av personopplysninger (personopplysningsloven). (Lov 2000-04-14 nr 31). Lov om spesialisthelsetjenesten m. m av 2. juli 1999 nr 61. Lov om helsepersonell m.v., helsepersonelloven (LOV 1999-07-02 nr 64). Forskrift om krav til akuttmedisinske tjenester utenfor sykehus. 18. mars 2005 ETSI directive Dec. 2001. (Om flytting av ansvar for informasjonssikring fra avlytter til eier av systemet). Rundskriv IS-10/2005 Restriksjoner i bruk av helseradionettet hensyn til personvern ved bruk av ikke kryptert radiosamband. (Vedlegg). IK2333 Betjening fra faste enheter (RBO-systemet), kravspesifikasjon fra Helsedirektoratet. Første versjon, 31.05. 1990, revidert 15.08.1990. 2 Konfidensialitet i helseradionettet 23.11.05
1.2 Om helseradionettet Det nasjonale helseradionettet ble etablert på 80-tallet, og er et sentralt verktøy i daglig virksomhet, utalarmering og samhandling mellom de ulike helseressursene innen prehospital virksomhet ambulansetjenesten, sykehusenes utrykningsressurser, kommunehelsetjenesten etc. Forskrift om akuttmedisinske tjenester utenfor sykehus slår fast som krav at eiere av virksomhetene (foretak og kommuner) skal sørge for at helsepersonell i vakttjenester til enhver tid er tilgjengelige i helseradionettet. 1.3. Om Rundskriv IS-10/2005 Rundskrivet presiserer kravene til personvern og konfidensialitet, og at disse også må ivaretas ved bruken av helseradionettet. Det fremgår videre at GSM/GPRS/UMTS bare aksepteres brukt til overføring av konfidensiell informasjon fram til et nødnett med høyere krypteringsgrad er innført. Rundskrivet innebærer ikke noen endring i forhold til krav om at personell i vakt skal være tilgjengelige i nettet. Helseradionettets plass som verktøy for tjenesten er ikke endret, men det presiseres at personidentifiserbar informasjon må overføres via andre kanaler. Det åpnes for unntaksvis overføring av personidentifiserbar informasjon i nettet i den grad dette er absolutt nødvendig for ivaretakelse av liv og helse, og der andre former for overføring ikke er tilgjengelige. 2. PROSEDYREN GJELDER FOR Regelverkspålagte brukere av helseradionettet, så vel kommunale som fra helseforetak. Andre brukere som er gitt tilgang til helseradionettet. 3. AKTSOMHETSKRAV Brukere av helseradionettet skal vise særlig aktsomhet i forhold til konfidensiell informasjon. Med konfidensiell informasjon menes her: - Navn på pasient eller pårørende. - Pasientens bosted eller oppholdssted. - Telefonnummer når det går til pasient- eller pårørendes bolig. - Annen identifiserbar informasjon (alder, arbeidssted, kjønn, helsemessige forhold etc. som alene eller i kombinasjon muliggjør identifikasjon). - Det kan være nødvendig å oppgi enkeltelementer, men da må spesiell varsomhet ivaretas i forhold til kombinasjon av elementer. - Koordinat til adresse, spesielt dersom det er få personer som bor på adressen. 4. PRAKTISK GJENNOMFØRING 4.1 Generelt (kommune- og helseforetak) - Konfidensiell informasjon overføres ikke i helseradionettet, men via annen kommunikasjonsvei (GSM/ GPRS/ UMTS eller annet). - Ved kommunikasjon i helseradionettet erstattes pasientidentifikasjon med koding (for eksempel AMIS-nummer). - Brukere av helseradionettet som kan ha behov for personidentifiserbare opplysninger må i tillegg til helseradio ha tilgang til annet utstyr (for eksempel mobiltelefon) for overføring av slik informasjon. 3 Konfidensialitet i helseradionettet 23.11.05
4.2 Utalarmering - Utalarmering skal fortsatt skje i helseradionettet - Informasjonen som kan gis i helseradionettet inkluderer informasjon om enhet (for eksempel ambulansebil nr 2), hastegrad, stedsnavn, pasienttall og problemstilling - Mottatt melding bekreftes av utalarmerte enheter - Utfyllende informasjon (personalia og nøyaktig stedsangivelse) formidles over annet kommunikasjonsmiddel (bestemmes lokalt) såfremt dette er mulig. Dersom andre tjenester ikke er tilgjengelig, for eksempel fordi enhet er utenfor dekningsområdet for mobiltelefon eller det er feil eller overbelastning i telenettet, kan nødvendig informasjon gis over HE-nettet. 5. KONSEKVENSER 5.1 Utbredning Det er en betydelig fare for at de restriksjonene som nå er presisert, kan medføre at brukerne i prehospitale tjenester, på tross av bestemmelsene i regelverket, i mindre grad enn tidligere sørger for å være tilgjengelige i nettet. Hyppig bruk av helseradionettet er den viktigste måten å vedlikeholde den personlige kompetansen på dette området. Ved større hendelser er helseradionettet det sentrale, og ofte det eneste tilgjengelige, kommunikasjonssystemet. Personell som sjelden bruker helseradionettet er avhengige av hyppige oppdateringer og øvelser. Kostnadene ved opplæring og øvelser vil være betydelige. 5.2 Logging Betjening fra faste enheter (RBO-systemet, IK2333, pkt 2.4.4.3), gitt av Helsedirektoratet, stiller krav om logging av helseradionettet. Av 9d i Forskrift om krav til akuttmedisinske tjenester utenfor sykehus fremgår det at AMK skal ha utstyr for logging av viktig trafikk. Når trafikk som tidligere gikk i helseradionettet overføres til andre kommunikasjonsmidler må det vurderes om denne omfattes av kravet til logging. 5.3 Kompetanse Eier av virksomheten er ansvarlig for at brukere i helseradionettet er kjent med endringer som følger av denne prosedyren. 5.4 Ambulansetjenesten Hver ambulanse må som et minimum ha en mobiltelefon som supplerende samband. Vi vil anta at det er behov for handsfree-installasjon. (Dersom ambulanse er utstyrt med IKT-utstyr for overføring av tekst/meldinger, må det vurderes om det er behov for ekstra mobiltelefon i tillegg). Av hensyn til dokumentasjon og sikkerhet i tjenesten antas at behovet for tekst/ kartterminaler blir større enn i dag i og med at man er avhengig av flere kommunikasjonsveier. 4 Konfidensialitet i helseradionettet 23.11.05
Tabell 1: Oversikt over antall ambulanser Ambulanser i hel- og deldøgnsdrift, reserve- og suppleringsambulanser og ambulansebåter, etter helseregion. 2004 Ambulanser Helseregion Døgnambulanser i drift deler av døgnet 1 Hele landet 423 107 Helseregion Øst Helseregion Sør Helseregion Vest Helseregion Midt-Norge Helseregion Nord Reserve- og suppleringsambulanser Ambulansebåter 2 69 39 75 38 16 1 70 15 3 1 85 21 36 11 79 15 8 6 114 18 6 20 1 2 Antall timer disse ambulansene er i beredskap kan variere. Sterk nedgang i denne kategorien skyldes at tekniske reservebiler er delvis trukket ut av 2004- tallene da de ikke er en del av beredskapen. Kilde: 2005 Statistisk sentralbyrå 5.5 AMK-sentralene Kravet om at all kommunikasjon med tjenesten skal logges, kan medføre behov for tekniske endringer i sentralen. Sentraler som bare har det pålagte utstyr får økt arbeidsmengde ved at man må forhold seg til flere kommunikasjonssystemer (Helseradionett og mobiltelefon). Alle AMK-sentraler må etablere IKT-utstyr for overføring av tekst/meldinger til mobile enheter i vaktberedskap. 5.6 LV-sentralene Det må etableres system (inklusive opplæring) og prosedyrer for tilgang til lege i vakt via GSM (vaktlister, telefonnumre, viderekobling) eller annet IKT-utstyr for overføring av tekst og meldinger. Testoppkall til lege i vakt må foretas både via helseradionett og mobiltelefon. Dette er spesielt viktig dersom det benyttes viderekobling. Kvalitetssikring og vedlikehold av dette systemet vil være krevende. 5.7 Leger i vakt Alle leger i vakt må som et minimum ha en mobiltelefon som supplerende samband. Vi vil anta at det er behov for handsfree-installasjon. Det anbefales at alle LV-sentraler etablerer IKT-utstyr for overføring av tekst og meldinger til leger i vaktberedskap. 5 Konfidensialitet i helseradionettet 23.11.05
5.8 Sykehus/ akuttmottak Innmelding av pasienter fra ambulanser/ AMK må skje via telefon heller enn via helseradionettet, eventuelt må innmelding via helseradionettet følges opp med konfidensiell informasjon via annen kommunikasjonsvei. Av sikkerhetsmessige årsaker bør denne overføring skje digitalt, og da kan det påløpe kostnader til utstyr. 5.9 Andre I den grad andre brukere (for eksempel åpen omsorg) benytter seg av helseradionettet, må det sikres at de også gis tilgang til annen kommunikasjonsvei for overføring av personidentifiserbar informasjon. Kostnadene ved dette vil avhenge av hvilke løsninger som velges. 6. VIDERE KOMMUNIKASJON (aksjon og tilbakemelding) Helseradionettet er fortsatt det viktigste verktøyet for kommunikasjon mellom aktører involvert i prehospital virksomhet Når hensyn til personvern tilsier det, benyttes avtalte koder. Personidentifiserbare opplysninger utveksles via mobiltelefon/ tekstterminal Når mulig, foretas tilbakemeldinger som ikke kan gå i helseradionettet via fasttelefon (for eksempel pasientens telefon) eller annet egnet IKT-utstyr. 7. LANGSIKTIGE KONSEKVENSER Over tid vil det digitale nødnettet avløse dagens helseradionett. Dagens utgave av GSM/ GPRS/ UMTS vil da ikke være godkjent for overføring av personidentifiserbar informasjon, og må erstattes enten av det digitale nødnettet eller andre godkjente løsninger som da måtte foreligge. 8. UNNTAKSBESTEMMELSER 8.1 Hva skal til for å bruke helseradionettet til konfidensiell informasjon? Det fremgår av SHdirs rundskriv at helseradionettet kan brukes til å formidle personsensitive opplysninger i situasjoner der liv og helse antas å stå i fare og der tidsforsinkelse ved bruk av sikre kanaler antas å forverre situasjonen. Dette gjelder for liv og helse for så vel pasient, som utrykningspersonell.. Det er vanskelig å definere grenser for hva som kan forsvares av brudd på taushetsplikt, men enkelte scenarier vil regelmessig oppstå: 1. Manglende tilgjengelighet i mobiltelefonnettet, for eksempel på grunn av dårlig radiodekning, feil eller overbelastning i det offentlige telenettet, manglende svar fra den oppringte, kan medføre at man må benytte helseradionettet. 2. En har ikke tid til å bruke GSM. Dette må være basert på en konkret medisinsk vurdering av den aktuelle situasjonen. Her må helsepersonellet veie konsekvensen av brudd på taushetsplikt opp mot helsegevinst for pasienten. Operatør må ved tidskritiske hendelser vurdere om pasienten ønsker rask medisinsk hjelp fremfor hensynet til personvern. 6 Konfidensialitet i helseradionettet 23.11.05
3. Operatør vurderer i den konkrete situasjon og på medisinskfaglig grunnlag at hun ikke ønsker å forlate innringer på hold for å ringe opp ambulanse /lege på mobiltelefon. Dersom det er mulig/ hensiktsmessig kan det da innhentes samtykke fra innringer, selv om dette vil ha begrenset juridisk verdi (det er neppe tid til å gå gjennom alt som skal til for at det skal kunne sies å foreligge et informert samtykke) 4. Samtidighetskonflikt med andre pågående situasjoner der det står om liv og helse. Her må operatøren vurdere tidstap mot eventuell risiko for liv og helse. (Dersom slike situasjoner oppstår ofte, må en vurdere om grunnbemanningen i sentralen er god nok). 5. Dersom det er nødvendig av hensyn til sikkerheten til utrykkende personell om mulig faresituasjon på åstedet og dette ikke er tidsmessig eller praktisk mulig vha GSM eller på andre måter. Eks.: En må gi informasjonen til flere utrykkende enheter samtidig. 9. OPPSUMMERING Taushetspliktbelagt informasjon eies av pasienten og må forvaltes av, evt. på vegne av, ham. Helsepersonell må kunne forutsette pasientens samtykke til å oppgi taushetsbelagte opplysninger på en måte som er avlyttbar, dersom det vurderes som absolutt nødvendig for kunne å yte nødvendig akutt helsehjelp. Det er antakelig større risiko for klagesak pga forsinkelse eller feilbehandling enn pga brudd på taushetsplikten i en konkret situasjon. Helsepersonellet skal snarest etter en situasjon der en har måttet oppgi pasientsensitiv informasjon på helseradionettet, beskrive hva som skjedde og begrunnelsen for at en valgte å bruke helseradionettet. Det noteres i merknadsfeltet i AMIS for den aksjon det gjelder. Siden det er brudd på gjeldende pålegg og retningslinjer, bør det også skrives avviksmelding. 10. KOSTNADER Oppdraget fra de regionale AMK-sentraler inkluderte å gi en redegjørelse for kostnadene ved å følge opp rundskrivet i mandatet for prosjektet. Vi ser det ikke mulig å komme med numeriske verdier her, fordi kostnadene vil variere sterkt avhengig av lokale faktorer. Et eksempel på dette er ulikheter i utstyr i ambulansetjenesten, blant annet i hvilken grad disse allerede er utstyrt med mobiltelefoner og kartløsninger. Mens det er relativt enkelt å få oversikt over de utstyrsenheter som må til for å sikre alternative trafikkveier, er andre kostnader avhengige av mer krevende vurderinger. Særlig i områder med korte kjøreveier vil den tiden som spares på å få nøyaktig stedsinformasjon overført til kartterminal fremfor å ringe AMK via GSM for å få denne informasjonen være vesentlig. Ved lengre kjøretid kan tidstapet være mindre kritisk, idet det ene ambulansepersonellet kan ta denne telefonen mens det andre kjører bilen. Enda vanskeligere å vurdere, men fremdeles viktig å ta med, er kostnadene til å sikre at personellets kompetanse i bruk av helseradionettet vedlikeholdes. Dette er allerede et betydelig problem, men kan ikke neglisjeres i en situasjon hvor særlig leger i vakt vil se at verdien av helseradionettet i deres daglige virksomhet reduseres vesentlig. 7 Konfidensialitet i helseradionettet 23.11.05