Digital løsning for innsjekk og oppgjør ved sykehusene
Helse Sør-Øst arbeider med en teknisk løsning der pasientene selv kan registrere seg ved ankomst til sykehuset og betale digitalt ved avreise. Gjennom denne løsningen vil pasientene også få bedre oversikt over beregnet ventetid og bli varslet på mobil ved forsinkelser.
Publisert 23.03.2023
Sist oppdatert 29.03.2023
Løsningen er basert på lagring og behandling av data i en såkalt skyløsning. Det betyr i dette tilfellet at data og programmer befinner seg fysisk hos en ekstern samarbeidspartner. Helselogistikk-løsningen leveres av det norske selskapet DNV Imatis AS med Microsoft Irland Ltd som underleverandør. Pasientopplysninger som ligger i løsningen er blant annet navn, fødselsnummer og oppmøtested på sykehuset. Løsningen vil være installert i et datasenter i Nederland hvor da også informasjonen om pasientene vil være lagret og vil prosesseres. Løsningen er ikke satt i produksjon ennå, med andre ord har man ikke begynt å behandle personopplysninger i løsningen ennå.
Personvern har høy prioritet
Godt personvern er en forutsetning for god pasientbehandling. Den største risikoen rundt personopplysninger i helsesektoren i dag vurderes å være at vi har gamle og sårbare systemer som ikke kommuniserer godt med hverandre. Skyløsninger er ofte sikrere enn det som er alternativene. Det er viktig at informasjonssikkerhet i helsesektoren også handler om at opplysninger om pasienter skal være tilgjengelig for helsepersonell når de trenger dem.
Oppfølging av råd fra Datatilsynet
Helse Sør-Øst har hatt en god dialog med Datatilsynet om vårt arbeid med personvernvurderingene i denne løsningen. Det vil alltid være en fare for at opplysninger havner hos uvedkommende, uansett om vi velger skyleverandører eller om vi drifter løsningen i eget hus. Vår oppmerksomhet må være rettet mot å redusere den totale risikoen mest mulig. Løsningen som er valgt vil ha flere lag av beskyttelse mot uvedkommendes innsyn, og informasjonen er kryptert både under lagring og overføring.
Siden Microsoft Irland Ltd er underleverandør til DNV Imatis AS som tilbyr løsningen, har Datatilsynet uttrykt bekymring for at Microsoft Irland Ltd kan bli utsatt for problematisk amerikansk lovgivning. Tilsynet har anbefalt tre alternative tiltak for å møte dette:
- “Vi anbefaler at personopplysninger i løsningen pseudonymiseres på en god måte og slik at databehandlere eller tredjelands myndigheter ikke kan få tilgang til koblingsnøkkelen. Gjort riktig kan dette være et tilstrekkelig tiltak i denne saken.
- Eventuelt kan man vente med å legge personopplysninger inn i løsningen inntil en adekvansbeslutning for USA er vedtatt og har trådt i kraft og forutsatt at leverandørene deres deltar i den nye transatlantiske ordningen. Vi håper adekvansbeslutningen vil vedtas før sommeren.
- Eventuelt kan dere se hen til Sikts metodikk og vurdere grundigere om det er grunn til å tro at problematisk lovgivning i tredjeland vil få anvendelse på deres personopplysninger i praksis. En slik vurdering må selvsagt dokumenteres godt.”
Vurdering av alternativene
Det første alternativet er i praksis vanskelig å gjennomføre for denne løsningen. Hvis pasientens identitet skal være skjult i løsningen, kan man ikke opplyse pasienten om egen timeavtale og integrere mot betalingsløsninger.
I det andre alternativet foreslår Datatilsynet å vente, men usikkerheten om tidspunkt for innføring av en avtale mellom EU og USA er krevende. Vi er i gang med bygging av nye sykehus og trenger en avklaring av hvilken løsning man skal benytte for helselogistikk.
Basert på vurderingene av de to første alternativene, har Helse Sør-Øst RHF derfor gått videre med det siste alternativet, og gjort en omfattende vurdering av om det er grunn til å tro at amerikansk lovgivning i praksis vil kunne føre til at opplysningene i helselogistikkløsningen blir krevd overført til amerikansk etterretning. Konklusjonen er at det ikke er noen grunn til å tro det.
Veien videre
Helse Sør-Øst fortsetter dialogen med Datatilsynet om disse spørsmålene.
Før løsningen kan settes i produksjon med reelle persondata, skal naturligvis personvernkonsekvensene være ferdig analysert. En personvernkonsekvensanalyse (Data Protection Impact Assessment, DPIA) skal sikre at personvernet til de som er registrert i løsningen ivaretas. Denne gjennomføres etter retningslinjer fra Datatilsynet og skal godkjennes av helseforetakene som er dataansvarlige. Det betyr at det er det enkelte helseforetaket som tar beslutningen om innføring av systemet hos seg. Det er Vestre Viken, Oslo universitetssykehus, Sykehuset Telemark og Sykehuset i Vestfold som er de første helseforetakene i Helse Sør-Øst til å vurdere dette.