I juni 2018 blev der udstedt en bøde på 400.000 euro for brud på databeskyttelsesforordningen til et offentligt portugisisk hospital, fordi personer uden medicinsk baggrund havde haft adgang til patienters kliniske data. Herudover havde kun 296 af de 985 registrerede brugere en medicinsk baggrund. Hospitalets forklaring om, at der alene var tale om midlertidige brugeradgange til servicebrug, blev ikke anset for at være en undskyldning, der kunne begrunde en lavere bøde. Det portugisiske datatilsyn fandt således, at hospitalet havde overtrådt principperne om fortrolighed og integritet samt princippet om dataminimering. Hospitalet fik endvidere en bøde for manglende evne til at sikre fortrolighed og integritet af den behandlede persondata.

Afgørelsen understreger vigtigheden af, at alene sundhedspersoner med et reelt behov bør have adgang til patienternes helbredsoplysninger, fx i den pågældendes patientjournal.

Sundhedsloven

I Danmark reguleres opslag i den elektroniske patientjournal af sundhedsloven. Dele af sundhedsloven stammer imidlertid fra en tid, hvor patientens helbredsoplysninger alene fandtes i papirjournaler, og hvor patienten kun var i behandling ét sted ad gangen. I dag foregår patientbehandlingen ofte på tværs af sundhedsvæsenet, hvor patienten både er i kontakt med sin praktiserende læge, hospitalet, speciallæger og de kommunale sundhedstilbud, såsom genoptræning mv.

I december 2018 fremsatte sundhedsministeren forslag til ændring af sundhedsloven. Lovforslaget har ifølge ministeren til formål at understøtte et bedre digitalt samarbejde, der gør det lettere at dele relevante oplysninger om patienternes forløb mellem de sundhedspersoner, der har patienten i behandling. Desuden foreslås det, at der etableres en ny fælles digital infrastruktur for deling af oplysninger på tværs af sundhedsvæsenet med henblik på at skabe overblik over patienters behandlingsforløb.

Herudover skal adgangen til patientoplysninger ifølge lovforslaget udvides til at omfatte ikke-sundhedspersoner, der benyttes som teknisk bistand i forbindelse med indhentningen af oplysninger i de elektroniske patientjournaler.

Sundhedslovens regler om opslag i den elektroniske patientjournal

Hvem der må slå op i den elektroniske patientjournal afhænger af personens faglige baggrund og formålet med opslaget. Der er således forskellige regler alt efter, hvilken uddannelse sundhedspersonen har, og om der er tale om opslag i forbindelse med sundhedsfaglig behandling; opslag begrundet i andre formål end behandling; eller opslag med henblik på videregivelse.

Adgangen til oplysninger opdeles desuden i historiske og aktuelle oplysninger, svarende til oplysninger om henholdsvis tidligere behandlingsforløb og det aktuelle forløb. Der er endvidere forskel på, om der er krav om organisatorisk tilknytning til den behandlingsenhed, sundhedspersonen er tilknyttet, hvor der kun må foretages opslag om de patienter, der er i behandling på denne enhed, eller om sundhedspersonen må foretage opslag på tværs af organisationer og sektorer.

Endelig er sundhedspersonens baggrund og formålet afgørende for, om opslaget må ske uden patientens samtykke, eller om patientens samtykke først skal indhentes.

Med lovforslaget ønsker man bl.a. at ændre reglerne, da det anses for at være problematisk, at der er grupper af sundhedspersoner, der som udgangspunkt ikke har adgang til historiske helbredsoplysninger, og at adgangen for disse grupper er begrænset til patienter, der er i behandling på samme behandlingsenhed.

Herudover ønsker man at ændre reglerne således, at det bliver muligt for autoriserede sundhedspersoner at anvende teknisk bistand i forbindelse med opslag i de elektroniske patientjournaler til brug for kvalitetssikring mv.

Det Etiske Råd

I forbindelse med høringen af lovforslaget har Det Etiske Råd bl.a. udtrykt betænkeligheder ved etableringen af et omfattende register med følsomme oplysninger, som en bred kreds af sundhedspersonale har adgang til. Årsagen til bekymringen er, at et sådant register i sig selv vil indebære en øget risiko for, at omfattende viden om den enkelte patient uretmæssigt kan tilgås.

Endvidere er Det Etiske Råd betænkelig ved den teknologiske udviklings indgriben i privatlivet, ved således at vise mange forskellige sider af det enkelte menneske – sider, som den enkelte måske ikke ønsker at dele på kryds og tværs af sundhedsvæsenet. Hvor lovgivningen hidtil har været bygget op omkring den snævre relation mellem den enkelte patient og sundhedspersonen, flytter de foreslåede ændringer tavshedspligtens grænser til i stedet at være en relation mellem patienten og hele sundhedsvæsenet.

Bedre digitalt samarbejde i lyset af databeskyttelsesforordningen

Databeskyttelsesforordningen pålægger både de private og offentlige dataansvarlige at fastlægge et passende sikkerhedsniveau på baggrund af de risici, der er forbundet med behandlingen. Det er efter Sundheds- og Ældreministeriets opfattelse helt i tråd med databeskyttelsesforordningens risikobaserede tilgang, at det er de dataansvarlige regioner, privatpraktiserende læger mfl., der skal fastlægge, hvilke sundhedspersoner der i forbindelse med patientbehandling har behov for adgang til helbredsoplysninger, modsat i dag, hvor der er detaljerede begrænsninger i loven.

Hos REVI-IT har vi stor erfaring med at rådgive om databeskyttelsesforordningen, ligesom vi arbejder med mange sundhedsprofessionelle og leverandører til sundhedsbranchen. Så når vi tager dette emne op, er det fordi vi ser den portugisiske afgørelse som en påmindelse om, at de enkelte dataansvarliges fastlæggelse af, hvilke sundhedspersoner der i forbindelse med behandlingen har behov for adgang til helbredsoplysninger, bør følges op af løbende kontrol med brugeradgange og implementering af passende tekniske og organisatoriske foranstaltninger. På den måde kan efterlevelse af principperne om dataminimering, fortrolighed og integritet sikres.