Personvern og tilgang på tvers. Hva mener KITH? Om forslag til lovendringer og forskrift Torbjørn Nystadnes, KITH Møte i e-helseforum 11. mai 2009
Historikk De nye helselovene som kom for snart ti år siden, innebar at den praksis en lenge hadde fulgt på enkelte områder, ble ulovlig Uten at denne påkrevde praksisendring var berørt i forarbeidene Tolkningsrommet for bestemmelsene er etter KITHs mening for stort Sektorens tolking var vesensforskjellig fra tilsynsmyndighetenes Sentrale punkter i tolkningen som kom i rundskriv IS-7/2006 er ikke til å leve med for sektoren Og de blir da heller ikke etterlevd
KITH mener at Dagens situasjon mange trolig gis for vid rett til tilgang Av frykt for feilbehandling pga. manglene opplysninger Av praktiske årsaker På grunn av for svak funksjonalitet i EPJ-systemet behovet for tilgangen ofte er for dårlig dokumentert Men vi ser ikke dette som bevis utstrakt illegitim tilgang det er for vanskelig å avsløre urettmessig tilgang Rimelig greit dersom mistanke foreligger Tilfeldige stikkprøver gir liten effekt enhver tilgang bør knyttes opp mot en konkret beslutning om helsehjelp til pasienten Eller begrunnes med referanse til annen hjemmel
Dagens situasjon KITH mener dagens begrensning knyttet til instruksjonsmyndighet gir uheldige utslag Leger, tannleger og annet helsepersonell med kontorfellesskap Nært samarbeid om behandling på tvers av virksomhetsgrenser Også mellom offentlige og privat virksomheter Kontrollkommisjonen for psykisk helsevern Individuell plan KITH mener dagens situasjon er uheldig både når det gjelder personvern og pasientsikkerhet
Dagens situasjon Tilstanden når det gjelder personvern og informasjonssikkerhet i helsevesenet er på ingen måte ideell Dette framgår klart av tilsynsrapportene Situasjonen er erkjent og korrigerende tiltak er satt i verk og flere kommer Spørsmålet er om alle de påpekte avvik lar seg avhjelpe med tiltak i virksomhetene...uten at dette går ut over pasientsikkerheten KITH tror ikke det
Personvernets hvite ridder Datatilsynet gjør til tross for begrensede ressurser, en uvurderlig jobb for personvernet Både innenfor helsevesenet og for øvrig Resultatene fra tilsyn med virksomheter i helsevesenet, tilsier at utfordringene er store Og de blir ikke mindre dersom lovendringene vedtas Men forskrifter kan gi klarere regler å føre tilsyn etter KITH er enig med Datatilsynet i de fleste tilfeller: Stå på! Men i denne saken er vi for en gangs skyld, saklig uenig
Personvern under press Stadig flere (forslag til etablering av) sentrale personidentifiserbare helseregistre Forslag til ny helsepersonelloven 29 b (Opplysninger til kvalitetssikring, administrasjon, planlegging og styring av helsetjenesten) Departementet kan bestemme at helseopplysninger kan eller skal gis til bruk til kvalitetssikring, administrasjon, planlegging eller styring av helsetjenesten, og at det skal skje uten hensyn til taushetsplikt. [...] Men inneholder Ot.prp. nr. 51 (2008-2009) forslag som er personvernhemmende? Nei, mener KITH
Om IT-bransjen Bransjen opptrer stort sett ryddig og saklig Har et seriøst forhold til de aktuelle problemene Kundenes prioriteringer tillegges gjerne størst vekt Det er ikke kun tilgangsstyring som står på kravlisten... I forsvarsposisjon blir det fort til at problemene underkommuniserer i møtet med pressen Det fokuseres sjeldent på forbedringspotensialet Tidvis kommer det utspill som vitner om manglende innsikt og som ikke inngir tillit: [IKT-Norge] Raser mot personvernkommisjonen Dårlig tilgang til helseregistre kan risikere liv Digi.no 15.01.09
Helsetilsynsing Fra Helsetilsynets brev til HOD 6. mars 2008 Teknokratene styrer [...]personell som har taushetsplikt og innsikt i hva taushetsplikten innebærer, [blir] ikke i tilstrekkelig grad hørt ved utforming av journalsystemene [...]funksjonaliteten og praktisk bruk [baseres] på hva som datateknisk er mest lettvint eller effektivt og på hva ledere og rådgivere uten klinisk bakgrunn mener er viktig Leverandørene Tilsynserfaringene kan også tyde på at leverandørene av systemene har satt inn begrensede ressurser for å utvikle systemene i henhold til kravene KITH deler ikke helsetilsynets oppfatning på disse punktene
Om EPJ-systemene Innholdet i de sentrale EPJ-systemene som helseforetakene benytter, er organisert på en måte som er godt egnet for styring av tilgang I det minste gjelder dette en del sentrale systemer Det er så langt ikke dokumentert at noe har klart å tiltvinge se tilgang til opplysninger i EPJ som en ikke er gitt tilgang til Det finnes sikre løsninger for fjerntilgang som virksomhetens egne ansatte kan benytte seg av Teknisk sett skulle det derfor ligge til rette for fjerntilgang også for eksterne
Sentrale spørsmål Hvordan ivareta pasientens reservasjonsrett? Hvem skal/kan avgjøre hvilke opplysninger som er relevante? Hvem kan gis tilgang? Hvordan utløse tilgang? Hvordan dokumentere tilgang?
Pasientens reservasjonsrett Det må dokumenteres i EPJ at pasienten har fått nødvendig informasjon om sine rettigheter De opplysninger pasienten ønsker spesiell beskyttelse av, må sperres Tilgang til disse bør kun gis etter eksplisitt samtykke Uten slik funksjonalitet bør det etter KITHs mening ikke åpnes for tilgang på tvers
Relevante opplysninger Gjeldende tolkning av regelverket forutsetter en detaljert vurdering av relevans før tilgang gis Dette forutsetter inngående kjennskap til pasientens tilstand og aktuelle behandlingsformer Gjeldende tolking innebærer at journalansvarlig eller avdelingsleder bør foreta vurderingen KITH mener dette ofte vil være umulig i praksis Rollen bør avgjøre hvilke deler av EPJ det kan gis tilgang til i normaltilfellet Bør kunne suppleres med ytterligere opplysninger etter vurdering Særskilt håndtering av tilgang til sperrede opplysninger
Hvem kan gis tilgang? Mer eller mindre tilfeldige virksomhetsgrenser bør ikke være avgjørende for hvilken metode som kan benyttes for å gi helsepersonell nødvendige opplysninger KITH ser ingen god grunn til å regulere hvilke tekniske løsninger som kan benyttes for å gi helsepersonell med legitimt behov tilgang til helseopplysninger Kravene til sikkerhet må være strenge Men uavhengige av ansettelsesforhold
Hvordan utløse tilgang? Tilgang bør være regelbasert Primært bør tilgangen følge implisitt av at en har blitt involvert i helsehjelp til pasienten De som på eget initiativ har rett til å sette i verk behandlingsrettede tiltak (herunder hjelp i en akuttsituasjon) må i slike tilfeller kunne åpne disse pasienters EPJ Ved lovpålagt dokumentasjon av helsehjelp, må det gis tilgang
Dokumentasjon av tilgang En overordnet, oversiktlig dokumentasjon må være en del av journalen Det må framgå hvorfor den enkelte har lest i EPJ Referanse til den beslutning som ligger til grunn Pasientene bør få tilgang til denne Detaljerte logger nødvendig som supplement
Fra Ot. prp. nr. 51 (2008-2009) [...]en forutsetning for tilgang på tvers er at pasientenes rett til konfidensialitet kan ivaretas herunder rett til å motsette seg utlevering av en eller flere opplysninger En forespørsel til ekstern virksomhet vedrørende tilgang til elektronisk pasientjournal skal ikke kunne omfatte mer enn én pasients elektroniske pasientjournal Den eksterne virksomheten det ønskes tilgang til, må kunne avgrense tilgangen til å gjelde klinisk informasjon relatert til forespørselen
Datatilsynets tabloidversjon Dersom dette blir vedtatt, må pasienten påregne at de opplysninger som nedtegnes etter hennes samtale med fastlegen, psykiateren eller gynekologen, blir stilt til disposisjon for flere titusener av ansatte i helse sektoren. For sikkerhets skyld. Dagens Medisin 31.01.09 KITH mener utsagn av denne typen svekker Datatilsynets tillit
Gjelder 13 for alle? Allmennleger, tannleger og annet helsepersonell med kontorfelleskap driver i konflikt med helseregisterloven 13 Dette har vært allment kjent i årevis En kan undres over at Datatilsynet så langt ikke har påpeke dette, til tross for flere tilsyn Og heller ikke funnet det nødvendig å reagere når andre har påpekt dette forholdet KITH mener loven enten må endres eller håndheves likt for alle
Catch 13 Helseregisterloven 13 kan ikke endres før det er utviklet løsninger som håndterer "tilgang på tvers" på en sikker måte og helseforetakene har dokumentert sin evne til å håndtere "tilgang på tvers" på en forsvarlig måte Løsninger som håndterer "tilgang på tvers" på en sikker måte, kan ikke tas i bruk før helseregisterloven 13 er endret KITH mener loven må endres før systemene kan endres
KITH mener Departementets forslag til lovendringer er et viktig skritt i riktig retning Høringsutkastet til nye forskrifter inneholdt mye bra, men det var også en del mangler Uklar begrepsbruk Pasientens reservasjonsrett - sperring Hvordan tilgang skal utløses Det er helt essensielt at tolkningsrommet reduseres vesentlig i forhold til dagens situasjon
Konfrontasjon eller dialog? Dette er en sak som har versert i 5-6 år Startet med uenighet om tolking av gjeldende lov Enkelte gikk svært høyt ut på banen i kampens hete Tolkningen ble oppfattet som et klart nederlag for sektoren Fortsatte som kamp om lovendringer Direktoratets forslag ble sett på som et nederlag av sektoren Departementets forslag er det første lyspunkt på mange år Mye prestisje er investert på begge sider Og da blir mortpartens argumenter gjerne uvesentlige Å finne en god løsning på denne typen problemer gjennom konfrontasjon, er vanskelig KITH mener dialog bør vurderes...