Formidlet helsedata uten sikkerhet

Helsedirektoratet vet ikke om de har brutt loven etter å ha formidlet helseopplysninger om petroleumsleger elektronisk.

Publisert

Denne artikkelen er mer enn 10 år gammel.

Helsedirektoratet måtte fjerne et søknadsskjema fra sine nettsider etter at legers helseopplysninger muligens er formidlet ulovlig.
Alle leger med norsk autorisasjon har til nå kunnet skrive ut helseerklæring til offshore-arbeidere, men fra 2014 må disse legene ha en egen godkjenning som petroleumslege for å gjøre dette.
Fargesyn og personnummer
Helsedirektoratet la ut søknadsskjema for godkjenning som petroleumslege på sine nettsider, i form av en elektronisk, såkalt Questback-søknad. Når man fyller inn skjemaet, må man svare på opplysninger om eget fargesyn, oppgi personnummer og helsepersonellnummer.
Når skjemaet er ferdig utfylt, kommer det et automatisk svar fra Questback om at skjemaet er mottatt.
Det som leger nå reagerer på, og som skaper hodebry for Helsedirektoratet, er at skjemaet også automatisk har blitt videresendt Fylkesmannen i Rogaland - til en såkalt postmottak-adresse. I det automatiske svaret fra Fylkesmannen heter det:
«Dersom du skal sende personsensitive opplysninger til oss, ber vi om at disse, av sikkerhetsmessige hensyn, ikke blir sendt på e-post. Bruk heller vanlig brevpost».
188 leger søkte godkjenning
188 leger skal ha søkt om slik godkjenning, opplyser Fylkesmannen i Rogaland. De aller fleste skal ha benyttet det elektroniske skjemaet.
Vegard Nore, fungerende avdelingsdirektør i avdeling for minoritetshelse og rehabilitering i Helsedirektoratet, sier de har innsett at informasjon om fargesyn er en helseopplysning, og at den ikke skal sendes elektronisk.
- Vi har derfor foreløpig fjernet skjemaet. Før vi eventuelt kan fortsette med elektronisk skjema, må vi forsikre oss om at personvernet ivaretas, og at det er i tråd med normen for informasjonssikkerhet, sier Nore.
System og utstyr
For å bli godkjent petroleumslege, må legen bekrefte at fargesynet til oljearbeideren blir undersøkt.
- Men dette kan gjøres uten at vi trenger å vite om legens eget fargesyn. For å kunne løse enkelte arbeidsoppgaver, kan oljearbeideren trenge fargesyn, og bør være kjent med om dette er normalt, selv om det ikke er et forskriftskrav for å jobbe offshore. Petroleumslegen må ha utstyr og system som sikrer dette.
Forsvarlig
- Har opplysningene om legene nå havnet hist og pist?
- Utfylt skjema har blitt sendt til og oppbevares hos Fylkesmannen i Rogaland som godkjenner petroleumsleger. Opplysningene blir oppbevart på en forsvarlig måte, og Fylkesmannen har overholdt sin meldeplikt til Datatilsynet for godkjenningsordningen, sier Nore.
Vurderer om loven er brutt
- Bør legene være bekymret om hvorvidt informasjonen er på avveie?
- Det autosvaret de har fått, betyr i praksis at meldingen registreres i arkivsystemet hos Fylkesmannen. Det er åpenbart at Fylkesmannen, som forvaltningsinstans, ikke vil gi helseopplysningene til noen. De er godt vant med å håndtere helseopplysninger. Det eneste som eventuelt kunne være utrygt, er om «transporten» fra skjemaløsningen til Fylkesmannen er mulig å bryte seg inn i. Det er et teknisk spørsmål som IT-folk må besvare.
- Vi vil nå få en vurdering på om det å formidle personnummer og HPR-nummer elektronisk, også er brudd på lovverket fra vår side. Selv om det ikke skulle gjøre det, må vi likevel se om det foreligger noen reell teknisk risiko. Her har vi gjort for dårlig arbeid, vedgår Nore.
Dagens Medisin 14/2013

Powered by Labrador CMS