TV2 Nord kunne søndag fortælle, at en læge er politianmeldt for at have misbrugt sin stilling på Aalborg Universitetshospital til at søge personfølsomme oplysninger på en person. Oplysningerne blev brugt i forbindelse med, at han skulle lave en lægeerklæring i sit fritidsjob for et forsikringsselskab. Alligevel vil Region Nordjylland ikke iværksætte en undersøgelse, for at få et overblik over misbrugets omfang.
TV2 Nord har på baggrund af den aktuelle sag stillet en række spørgsmål til Region Nordjylland og begæret aktindsigt i sagen.
Vi har bl.a. spurgt, om den politianmeldte læge i flere tilfælde har overtrådt reglerne, men det afviser regionen at svare på med henvisning til, at der nu verserer en personalesag. I en svarskrivelse nævner regionen, at der kan gives aktindsigt i sager mod ansatte, der bestrider en chefstilling. Selv om den politianmeldte læge er overlæge, betragter Region Nordjylland ham altså ikke dermed for at have stilling som en chef.
Vi har også spurgt Region Nordjylland, om der er foretaget anmeldelse af andre læger for at bryde persondatareglerne. Til det svarer regionen, at der de seneste tre år kun er registret det ene tilfælde, som TV2 Nord har omtalt. Derfor mener regionen heller ikke, at der er tale om en udbredt problematik.
Med samme begrundelse afviser Region Nordjylland derfor at foretage en omfattende undersøgelse af, om læger i forbindelse med deres bijob med udarbejdelse af lægeerklæringer for bl.a. forsikringsselskaber, har anvendt regionens IT-systemer uberettiget. Som nævnt i TV2 Nords dækning af sagen vil regionen dog følge op på konkret mistanke mod en læge på baggrund af patientklager, ligesom der allerede nu foretages systematiske stikprøver.
Nye retningslinjer
Region Nordjylland og Overlægerådet i Nordjylland har på baggrund af den aktuelle politisag udsendt skærpede retningslinjer til de speciallæger, der i deres fritid arbejder for f.eks. forsikringsselskaber.
Fremover har lægen pligt til at informere patienten om disse punkter:
- Hvad udfærdigelse af en speciallægeerklæring er
- Hvem der er opdragsstiller
- Hvilket foreliggende journalmateriale, som erklæringen udfærdiges på og
- Hvad hospitalets rolle er i den konkrete sammenhæng (udlån af lokaler)
Det betyder med andre ord, at patienten skal informeres tydeligt om, hvad undersøgelsen skal bruges til og hvem der har bestilt den. Det skal altså fremgå tydeligt, at undersøgelsen er bestilt af f.eks. et forsikringsselskab og at lægen ikke har adgang til andet journalmateriale end det, som forsikringsselskabet har fremsendt.
Overlægerådet påtager sig at udarbejde en brochure, der forklarer patienten reglerne for undersøgelsen, lægens ansvar og patientens klagemuligheder.
Ifølge en overenskomst har læger ret til at bruge de offentlige hospitaler i forbindelse med deres private arbejde for forsikringsselskaber eller f.eks. kommuner, men det indskærpes nu, at hvis lægen bruger sin hvide kittel må navneskilt eller person ID, der er udleveret fra hospitalet ikke anvendes.
Lægen må heller ikke kommunikere med patienten via regionens mail eller IT-system.
Svar på aktindsigt i Region Nordjyllands håndtering af personfølsomme patientoplysninger:
TV2 Nord har på baggrund af en aktuel sag, hvor Region Nordjylland til Datatilsynet har indberettet en hændelse vedrørende en læges uberettigede anvendelse af regionens IT-systemer i forbindelse med udarbejdelse af speciallægeerklæring, begæret aktindsigt i/ønsket svar på en række spørgsmål.
Herunder følger svar på aktindsigten:
- Spørgsmål 1:
- Har den pågældende læge i andre situationer uberettiget anvendt Region Nordjyllands IT-systemer til at søge patientoplysninger i forbindelse med hans bijob?
- Svar:
- Oplysninger om, hvorvidt den pågældende læge eventuelt tidligere og uberettiget har anvendt regionens IT-systemer i forbindelse med sit bijob vil, i givet fald, være registreret på pågældende læges personalesag. Der bedes derfor om oplysninger fra den pågældende læges personalesag.
- I henhold til offentlighedslovens § 21, stk. 1 omfatter retten til aktindsigt ikke sager om ansættelse eller forfremmelse i det offentliges tjeneste. Dog fremgår det af § 21, stk. 3, at der - for så vidt angår ansatte i chefstillinger - kan bevilges aktindsigt i oplysninger om disciplinære reaktioner i form af advarsel eller derover. Den pågældende læge er ansat som overlæge, hvilket ikke betragtes som en chefstilling. Af disse årsager kan der ikke bevilges aktindsigt i de efterspurgte oplysninger.
- Spørgsmål 2:
- Har Region Nordjylland anmeldt andre læger for lignende sikkerhedsbrud?
- Svar:
- Regionens Cyber- og Informationssikkerhedsenhed har fra 2018-2021 kun registreret det ene eksempel, der fremgår af TV2 Nords dækning, hvor der er tale om et datasikkerhedsbrud i forbindelse med lægers udarbejdelse af speciallægeerklæringer til bl.a. forsikringsselskaber.
- Spørgsmål 3:
- Har Region Nordjylland et overblik over, hvor mange læger, der i forbindelse med deres private bijob har søgt patientoplysninger via regionens IT-systemer?
- Svar:
- Regionens Cyber- og Informationssikkerhedsenhed har fra 2018-2021 kun registreret det ene eksempel, der fremgår af TV2 Nords dækning, hvor der er tale om et datasikkerhedsbrud i forbindelse med lægers udarbejdelse af speciallægeerklæringer til bl.a. forsikringsselskaber. Derfor er det heller ikke regionens opfattelse, at der er tale om en udbredt problematik.
- Der findes ikke et fuldt overblik, da det ikke er noget, som der særskilt foretages logopfølgning på.
- Region Nordjylland har som udgangspunkt tillid til, at alle ansatte følger regionens retningslinjer i forhold til indhentning af helbredsoplysninger i elektroniske systemer, og således kun tager adgang til helbredsoplysninger, som de pågældende har brug for i forbindelse med varetagelse af deres arbejdsopgaver for Region Nordjylland.
- Ikke desto mindre er der en systematisk logopfølgning, der skal sikre, at retningslinjerne bliver fulgt. Der laves logopfølgning i regionens EPJ-system en gang om måneden. Med udgangspunkt i et udtræk af det samlede antal opslag foretaget i den forgangne måned, bliver en delmængde af opslagene gennemgået med henblik på at afklare, om der har været en aktuel patient-behandlerrelation. Kan dette ikke bekræftes undersøges sagen nærmere. Logopfølgning i øvrige systemer med personoplysninger sker på ad hoc basis ved eventuelt konkret mistanke om misbrug.
- Spørgsmål 4:
- Vil Region Nordjylland på baggrund af den aktuelle sag undersøge omfanget af sikkerhedsbrud begået af læger med bijob?
- Svar:
- Regionen vurderer løbende, om det nuværende sikkerhedsniveau i de enkelte it-systemer er tilstrækkeligt. Derfor er vurderingen også, at omfanget af sager af denne karakter ikke tilsiger, at der iværksættes et meget omfattende arbejde med at lave skærpet logopfølgning med henblik på at afdække, om læger har anvendt regionens it-systemer i forbindelse med deres bijob med udarbejdelse af speciallægeerklæringer for bl.a. forsikringsselskaber.
- Ydermere foregår der nationalt et arbejde med at give patienterne mulighed for via Sundhed.dk at kunne slå op hvilke sundhedspersoner, der har haft adgang til deres journal. Det vil skabe mere gennemsigtighed for patienten om egne helbredsoplysninger og forventeligt tilvejebringe en mulighed for patienten selv at undersøge, om læger og andet sundhedspersonale uberettiget har haft adgang til deres helbredsoplysninger. Sundhedsministeriet ser lige nu på lovgrundlaget ift. udrulning af dette projekt.
- Spørgsmål 5:
- Hvad vil Region Nordjylland gøre for at sikre, at patienternes personfølsomme oplysninger fremover ikke kan misbruges?
- Svar:
- Som beskrevet i svaret til spørgsmål 3, så foregår der allerede en systematisk logopfølgning med henblik på at afdække, om der foretages uberettigede opslag i patienternes helbredsoplysninger, ligesom der bliver fulgt op på konkret mistanke om misbrug på baggrund af eksempelvis patientklager.
- I forhold til lægers adgang til helbredsoplysninger i forbindelse med udarbejdelse af speciallægeerklæringer for forsikringsselskaber, pensionsselskaber, kommuner m.v., så har den konkrete sag, som også er belyst i TV2 Nord, givet anledning til et serviceeftersyn af området, der er mundet ud i udarbejdelsen af en ny retningslinje, som sætter en præcis og ensartet ramme for lægernes brug af regionens faciliteter i forbindelse med udfærdigelse af speciallægeerklæringer udenfor arbejdstiden. Den blev vedtaget af regionens direktion 16. februar 2021.