Digital løsning for innsjekk og oppgjør ved sykehusene

​​Løsningen er basert på lagring og behandling av data i en såkalt skyløsning. Det betyr i dette tilfellet at data og programmer befinner seg fysisk hos en ekstern samarbeidspartner. Helselogistikk-løsningen leveres av det norske selskapet DNV Imatis AS med Microsoft Irland Ltd som underleverandør. Pasientopplysninger som ligger i løsningen er blant annet navn, fødselsnummer og oppmøtested på sykehuset. Løsningen vil være installert i et datasenter i Nederland hvor da også informasjonen om pasientene vil være lagret og vil prosesseres.   Løsningen er ikke satt i produksjon ennå, med andre ord har man ikke begynt å behandle personopplysninger i løsningen ennå.

Godt personvern er en forutsetning for god pasientbehandling. Den største risikoen rundt personopplysninger i helsesektoren i dag vurderes å være at vi har gamle og sårbare systemer som ikke kommuniserer godt med hverandre. Skyløsninger er ofte sikrere enn det som er alternativene. Det er viktig at informasjonssikkerhet i helsesektoren også handler om at opplysninger om pasienter skal være tilgjengelig for helsepersonell når de trenger dem. 

Helse Sør-Øst har hatt en god dialog med Datatilsynet om vårt arbeid med personvernvurderingene i denne løsningen. Det vil alltid være en fare for at opplysninger havner hos uvedkommende, uansett om vi velger skyleverandører eller om vi drifter løsningen i eget hus. Vår oppmerksomhet må være rettet mot å redusere den totale risikoen mest mulig. Løsningen som er valgt vil ha flere lag av beskyttelse mot uvedkommendes innsyn, og informasjonen er kryptert både under lagring og overføring.

Siden Microsoft Irland Ltd er underleverandør til DNV Imatis AS som tilbyr løsningen, har Datatilsynet uttrykt bekymring for at Microsoft Irland Ltd kan bli utsatt for problematisk amerikansk lovgivning. Tilsynet har anbefalt tre alternative tiltak for å møte dette:

Det første alternativet er i praksis vanskelig å gjennomføre for denne løsningen. Hvis pasientens identitet skal være skjult i løsningen, kan man ikke opplyse pasienten om egen timeavtale og integrere mot betalingsløsninger. 

I det andre alternativet foreslår Datatilsynet å vente, men usikkerheten om tidspunkt for innføring av en avtale mellom EU og USA er krevende. Vi er i gang med bygging av nye sykehus og trenger en avklaring av hvilken løsning man skal benytte for helselogistikk. 

Basert på vurderingene av de to første alternativene, har Helse Sør-Øst RHF derfor gått videre med det siste alternativet, og gjort en omfattende vurdering av om det er grunn til å tro at amerikansk lovgivning i praksis vil kunne føre til at opplysningene i helselogistikkløsningen blir krevd overført til amerikansk etterretning.  Konklusjonen er at det ikke er noen grunn til å tro det. 

Helse Sør-Øst fortsetter dialogen med Datatilsynet om disse spørsmålene.  

Før løsningen kan settes i produksjon med reelle persondata, skal naturligvis personvernkonsekvensene være ferdig analysert. En personvernkonsekvensanalyse (Data Protection Impact Assessment, DPIA) skal sikre at personvernet til de som er registrert i løsningen ivaretas. Denne gjennomføres etter retningslinjer fra Datatilsynet og skal godkjennes av helseforetakene som er dataansvarlige. Det betyr at det er det enkelte helseforetaket som tar beslutningen om innføring av systemet hos seg. Det er Vestre Viken, Oslo universitetssykehus, Sykehuset Telemark og Sykehuset i Vestfold som er de første helseforetakene i Helse Sør-Øst til å vurdere dette.