Beslut Dnr 2008-04-28 107-2008 Regionstyrelsen Region Skåne 291 89 KRISTIANSTAD Beslut efter tillsyn enligt personuppgiftslagen (1998:204) Datainspektionens beslut Datainspektionen konstaterar att Regionstyrelsen för Region Skåne (Regionstyrelsen) för närvarande inte uppfyller de krav rörande direktåtkomst som följer av 8 lagen (1998:544) om vårdregister (VrL). Datainspektionen förutsätter att Regionstyrelsen vidtar de åtgärder som krävs för att användargränssnittet i Melior ska få ett utgångsläge som innebär att användaren endast kan se om patienten är aktuell i den egna verksamheten. Ärendet avslutas, men kommer att följas upp. Bakgrund Den 21 januari 2008 tog Datainspektionen emot ett klagomål rörande patientjournalsystemet Melior på Universitetssjukhuset i Lund (USIL). I klagomålet gjordes bl.a. gällande att en användare som öppnar en patientjournal inte endast ser patientens kontakttillfällen i användarens egen verksamhet, utan även de eventuella kontakter patienten kan ha i andra verksamheter på sjukhuset. Vidare framfördes att det är lätt att av misstag råka komma in på ett kontakttillfälle, som man inte har behov av att se för den aktuella vården. Enligt informationen i klagomålet skall IT-avdelningen på USIL ha meddelat att det är tekniskt omöjligt att ställa in journalen så att användaren enbart ser kontakttillfällen för den egna kliniken på huvudmenyn. Redogörelse för det aktuella tillsynsärendet Mot bakgrund av informationen i klagomålet inledde Datainspektionen den 24 januari 2008 tillsyn mot Regionstyrelsen. Avsikten var att följa upp reglerna och förutsättningarna för åtkomst till patientuppgifter i patientjournalsystemet Melior. Datainspektionen förelade Regionstyrelsen
att besvara ett antal frågor rörande användargränssnitt, behörighetstilldelning, förekomst av tekniska trösklar m.m. hos samtliga sjukhus i regionen som använder Melior. I yttrandet från Regionstyrelsen har bl.a. följande framkommit. Övergripande information Journalsystemet Melior används av Centralsjukhuset i Kristianstad, Helsingborgs lasarett, Hässleholms sjukhusorganisation, Lasarettet i Landskrona, Lasarettet i Trelleborg, Universitetssjukhuset i Lund, Universitetssjukhuset MAS samt Ängelholms sjukhus. Regionstyrelsen har inte anlitat ett personuppgiftsbiträde för driften av Melior, utan sköter istället driften själv. Journalsystemets användargränssnitt Användargränssnittet i Melior har ett utgångsläge som innebär att användaren ser om patienten är aktuell i andra verksamheter än där användaren själv är verksam. Regionstyrelsen har dock uppgivit att Melior, via systemadministrationen, kan ställas in så att endast enhetens vårdtillfällen visas. Om denna begränsning inte gjorts genom systemadministrationen visas alla vårdtillfällen upp. Det finns då möjlighet för den enskilde användaren att välja att se endast den egna enhetens vårdtillfällen när journalen öppnas. Rutiner för behörighetstilldelning och tillgång till vårdinformation Regionstyrelsen har dokumenterade regler för tillgång till vårdinformation inom regionens verksamhetssystem. När det gäller direktåtkomst och behörighet framkommer bl.a. följande i regionens policy för tillgång till vårdinformation. De grundläggande principerna är att tillgång till vårdinformation skall baseras på behov, en vårdrelation skall finnas, patient och personal skall vara säkert identifierade samt personer och all hantering av vårdinformation skall följas upp. Utgångspunkten är att tillgång till vårdinformation ges till användare i egen verksamhet. Tillgångens art (läsa, skriva, skriva ut etc.) och typ av vårdinformation bestäms av arbetsuppgifterna i den egna verksamheten. Egen verksamhet definieras av organisatorisk tillhörighet, medicinsk specialitet eller etablerat samarbete. Utifrån arbetsuppgifterna i den egna verksamheten ges användaren tillgång till vårdinformation i annan verksamhet. Behörigheter till journalsystemet byggs således upp utifrån vad användaren skall utföra, som t.ex. läsbehörighet, skrivbehörighet, arkivsökning och behörighet på avdelningsnivå. Det finns även ett stort antal behörighetsgrupper/roller som styr användarens tillgång till vårdinformation. Som ett exempel kan nämnas rollen klinik, som ger läs-
och skrivbehörighet till icke sekretessbelagda avdelningar. Rollen klinik domän ger utöver ovanstående en möjlighet till domänsökning, d.v.s. tillgång till ytterligare databaser utöver den egna. Det är verksamhetschefens ansvar att tilldela behörighet för sin personal till det som denne har behov av för att kunna utföra sina arbetsuppgifter. Detta gäller även tilldelning av behörighet till vårdinformation i annan verksamhet än den egna. Det är även verksamhetschefen som beslutar om rutiner för tilldelning och borttagning av behörigheter. Utsedda systemadministratörer verkställer sedan verksamhetschefernas beslut. Förekomst av s.k. tekniska trösklar med krav på aktiva val I journalsystemet Melior finns ett krav på aktivt val när systemet är inställt så att endast vårdtillfällen på den egna enheten visas. I dessa fall får användaren avmarkera en bock för att få fram övriga enheters vårdtillfällen innan man kan öppna dem. Datainspektionens bedömning För att skyddet för patientuppgifter skall vara godtagbart från integritetssynpunkt krävs en kombination av väl avvägda rutiner för behörighetstilldelning, administrativa rutiner och tydliga riktlinjer för när det är tillåtet att ta del av patientuppgifter. Vidare behövs funktioner i journalsystemet som exempelvis kan ställa krav på aktiva val för att nå viss information. Dessutom behövs uppföljningar av loggar och kontroller i efterhand av eventuella intrång. En annan viktig del av integritetsskyddet är att vårdpersonalen känner till reglerna för direktåtkomst och att loggen i praktiken följs upp. Direktåtkomst till uppgifter i vårdregister Enligt 8 VrL skall bara den som behöver tillgång till uppgifterna för att kunna utföra sitt arbete ha direktåtkomst till uppgifter i ett vårdregister. Vidare får åtkomsten endast avse de uppgifter som behövs för arbetets utförande. Bestämmelsen kan sägas motsvara vad som stadgas i 7 patientjournallagen (1985:562) om s.k. inre sekretess, nämligen att varje journalhandling hanteras och förvaras så att obehöriga inte får tillgång till den (prop. 1997/98:108, Hälsodata- och vårdregister, s. 99). Avgörande för hur vidsträckt behörighet en viss anställd ska ha är följaktligen behovet av uppgifter. Den personuppgiftsansvarige/vårdgivaren måste därför ordna behörighetstilldelningen på ett sådant sätt att sjukvårdsanställda inte får tillgång till fler uppgifter än vad som behövs för arbetet. Det krävs att en vårdgivare analyserar och aktivt tar ställning till vilken information som är nödvändig för en viss tjänst och utifrån detta tilldelar användaren behörighet till ett vårdregister. Det bör också finnas funktioner i journalsystemet (tekniska trösklar) som ställer krav på att användaren måste göra ett aktivt val för att kunna ta del av uppgifter utanför
sitt ordinarie verksamhetsområde, dvs. information som kan finnas om en patient i vårdgivarens olika verksamheter ska inte vara omedelbart tillgänglig för läsning. Datainspektionen har i tillsyn i frågor som rör 8 VrL ansett att användargränssnittet i ett system för vårddokumentation skall ha ett utgångsläge som innebär att användaren inte kan se om patienten är aktuell i någon annan verksamhet än den där användaren själv är verksam. I ärendet har framkommit att användargränssnittet i Melior inte automatiskt har ett utgångsläge som är begränsat till användarens egen verksamhet. Regionstyrelsen har dock framfört att det är möjligt för systemadministrationen att ställa in Melior så att endast enhetens vårdtillfällen visas. Om en sådan begränsning inte gjorts genom systemadministrationen visas således alla vårdtillfällen. För den enskilde användaren finns då, sedan journalen väl öppnats, en möjlighet att välja att se endast den egna enhetens vårdtillfällen. Det är dock, enligt Datainspektionens bedömning, inte tillräckligt att systemadministrationen eller den enskilde användaren har möjlighet att ställa in Melior så att endast enhetens vårdtillfällen visas. Mot bakgrund härav anser Datainspektionen att Regionstyrelsen för närvarande inte uppfyller de krav rörande direktåtkomst som följer av 8 VrL. Datainspektionen förutsätter därför att Regionstyrelsen vidtar de åtgärder som krävs för att användargränssnittet i Melior ska få ett utgångsläge som innebär att användaren endast kan se om patienten är aktuell i den egna verksamheten. Hur man överklagar Om Ni vill överklaga beslutet skall Ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som Ni begär. Överklagandet skall ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades för att kunna prövas. Datainspektionen sänder överklagandet vidare till Länsrätten i Stockholms län för prövning om inspektionen inte själv ändrar beslutet på det sätt Ni har begärt. Beslut i detta ärende har fattats av datarådet Katja Isberg Amnäs i närvaro av juristen Patrik Sundström, föredragande. Katja Isberg Amnäs Patrik Sundström
Kopia till: Personuppgiftsombudet Britt Lagerlund, Region Skåne, Box 1, 221 00 LUND Siemens Medical Solutions, Höjdrodergatan 25, Box 18575, 200 32 Malmö