Skal ha ført pasient­journal i Teams – no granskar Data­tilsynet saka

Den private helseaktøren Ecura Bo og Habilitering skal ha brukt Microsoft Teams til å føre pasientjournal i Hareid og Kristiansund kommune, trass i at det ikkje er laga for å vere eit journalsystem.

Ifølgje bekymringsmeldinga frå Statsforvaltaren skal mellom anna opplysningar om tvang ha blitt ført her, og Microsoft Teams skal ha blitt brukt som ein tilleggsjournal til det journalsystemet dei vanlegvis bruker.

Det kjem fram i to bekymringsmeldingar frå Statsforvaltaren i Møre og Romsdal, datert 18. november og 9. desember i fjor.

Fungerande områdedirektør hos Statsforvaltaren, Grete Teigland, seier at dei er uroa for om pasientopplysningane er godt nok sikra.

– Det er jo reglar for korleis helseopplysningane skal arkiverast og dokumenterast. Vi er ikkje sikre på om Teams er eit sikkert nok verktøy for denne typen informasjon.

Teigland seier at dei ikkje er rette instans til å vurdere lovlegheita ved dette, og at dei derfor har sendt det vidare til Datatilsynet.

– Vi sende bekymringsmeldingane fordi vi er usikre på om dette er i tråd med krava, og ønskjer derfor at rette myndigheit skal vurdere det.

Ho seier at dei ser alvorleg på denne saka.

– Eit avvik

Ecura vil ikkje stille til intervju, men fagdirektør Jonny Finstad svarer i ein e-post via pressekontakten.

I ei av bekymringsmeldingane blir det stilt spørsmål ved om dette gjeld for heile landet, men det blir tilbakevist av Ecura.

– Praksisen som blir beskrive i bekymringsmeldinga er ikkje ein nasjonal praksis, men eit avvik frå våre rutinar. Når slike avvik blir avdekt så blir dei dokumentert i vårt avvikssystem og blir saksbehandla av våre leiarar og blir ein del av vårt arbeid for kontinuerleg forbetring.

Finstad presiserer i e-posten at Teams ikkje skal bli nytta for å føre journaldokument, eller vere arkiv for personsensitiv informasjon, men at det kan nyttast til andre oppgåver som ikkje er helserelaterte.

Sak under behandling

Datatilsynet opplyser at saka er under behandling, og at dei derfor ikkje vil kommentere dei spesifikke detaljane.

Likevel svarer dei på generelt grunnlag at sikkerheitsbrot som råkar pasientjournalsystem kan vere svært alvorleg.

– Det er vanskeleg å sjå for seg at ein plattform som er meint til meir generell kommunikasjon kan tilfredsstille sikkerheitskrava som blir stilte til pasientjournalsystem, skriv juridisk fagdirektør i Datatilsynet, Susanne Lie.

Statens helsetilsyn opplyser at dei har mottatt bekymringsmeldinga, og at dei avventar med å opprette sak til Datatilsynet har behandla saka ferdig.

– Vi har svart og informert om at vi takkar for informasjonen, og har bede om å bli halde informert om Datatilsynets avgjerd i saka, skriv avdelingsdirektør Vigdis Malt Marøy i ein e-post.

Vidare skriv ho at det er primært Statsforvaltaren som skal følgje opp dette, men om noko endrar seg i saka, kan dette stille seg annleis.

I tett dialog med Ecura

Ottar Røyset er kommunalsjef for helse og omsorg i Hareid kommune. Han seier dei er i tett dialog med Ecura etter forholdet blei avdekt.

– I eit tilsyn som Statsforvaltaren har hatt, så blei det stilt spørsmål ved bruken av Teams i Ecura. Der blir ein usikker på om praksisen som har blitt gjort er innanfor lovverket når det gjeld journalføring.

I Kristiansund kommune var dei ikkje kjend med bekymringsmeldinga før dei blei kontakta av NRK.

Kommunalsjef for helse og omsorg i Kristiansund kommune, Siv Iren Stormo Andersson, skriv i ein e-post at dei vil be Ecura om ei utgreiing av kva som har skjedd.

– Ivaretaking av personvern er absolutt, og det blir stilte ekstra store krav til sikkerheita i tenester som blir regulert av Helse- og omsorgstenestelova [...] På generelt grunnlag må ein vente at aktørar som yter helsehjelp har sikra sine data i samsvar med lov og forskrift.

Vikebladet Vestposten omtalte saka først.