Sykehus utleverte personopplysninger til PR-byrå – Datatilsynet ikke kjent med tilsvarende saker

Den såkalte kreftkirurgisaken ved sykehuset i Sandnessjøen har blitt en verkebyll for Helgelandssykehuset.

Denne uka toppet det seg igjen.

Mandag kunne Helgelands Blad i Sandnessjøen fortelle at PR-byrået Wergeland/Apenes (WA) hadde fått tilgang til tre hemmeligstemplede kreftrapporter med sensitive og taushetsbelagte pasientopplysninger allerede i august.

Dette skjedde en uke før konklusjonen i rapportene ble slått opp i lokalavisen Rana Blad – og før fagmiljøene i Helgelandssykehuset var blitt kjent med innholdet.

Overlege Knut Magne Augestad ved kirurgisk avdeling i Sandnessjøen reagerer på det som kommer fram i Helgelands Blad.

– Dette savner sidestykke i norsk helsevesen. Jeg har aldri hørt om at et internt kvalitetssikringsarbeid blir utlevert til et PR-byrå, sier han til NRK.

Heller ikke Datatilsynet kjenner til lignende saker.

– Vi har ikke fullstendig oversikt over alle tidligere saker vi har hatt til behandling. Ut fra det vi vet, er vi imidlertid ikke kjent med tilsvarende saker der en rapport med pasientopplysninger er utlevert fra et regionalt helseforetak til et PR-byrå, sier juridisk seniorrådgiver Susanne Lie i Datatilsynet.

Sykehusdirektør Hulda Gunnlaugsdottir innrømmer overfor NRK at rapportene burde vært sladdet før de ble sendt til PR-byrået Wergeland/Apenes.

• Les hele svaret fra toppsjefen i Helgelandssykehuset lenger ned i saken.

Stanset alle kreftoperasjoner

Bråket startet i januar da Helgelandssykehuset stanset alle kreftoperasjoner ved ett av de tre sykehusene som inngår i helseforetaket.

Tall fra Nasjonalt kreftregister viste at dødeligheten 100 dager etter operasjon var fem ganger høyere ved sykehuset i Sandnessjøen enn landsnittet.

Allerede en uke var operasjonene i gang igjen – til tross for at fagsjefen i sykehuset gikk imot dette.

Uenigheten i toppledelsen gjorde at sykehuset bestemte seg for å be om ekstern hjelp.

Helgelandssykehuset ba tre uavhengige eksperter om å vurdere kvaliteten i tarmkreftoperasjoner ved avdelingene i Sandnessjøen og Mo i Rana.

Alle tre legene fra OUS, St. Olavs og UNN gikk igjennom et stort antall pasientjournaler og leverte hver sin rapport.

Ble lekket til media

Men så skjedde det som ikke skulle skje.

Før fagmiljøene i sykehuset hadde fått sett rapportene ble konklusjonen slått stort opp i Rana Blad.

Her kommer det fram at to av rapportene påpekte alvorlige feil og mangler, særlig i Sandnessjøen.

Dermed var bråket i gang.

På en hasteinnkalt pressekonferanse varslet sykehuslegene i Sandnessjøen at de ikke lenger hadde tillit til fagsjefen i sykehuset.

Det alle spurte seg var hvordan Rana Blad hadde fått hånd om rapportene?

Sykehusdirektør Hulda Gunnlaugsdottir har flere ganger bekreftet at det kun var tre personer som hadde tilgang til rapportene, hun selv, fagsjef Ida Bukholm og medisinsk direktør Fred Mürer.

Men slik var det ikke.

– Vi burde ha sladdet

Mandag bekrefter sykehusdirektøren til Helgelands Blad at PR-byrået fikk kreftrapportene, under løfte om taushetsplikt.

Hulda Gunnlaugsdottir forklarer til NRK hvorfor Wergeland/Apenes fikk tilgang til rapportene:

– De fikk tilgang til rapportene 24. august, fordi de skulle bistå oss kommunikasjonsfaglig knyttet til prosessen vi hadde planlagt med fagmiljøene med oppstart 4. september.

– Er det vanlig at eksterne PR-byråer får taushetsbelagte personopplysninger? Eller var det en feil/glipp at rapportene ikke var sladdet?

– Vi burde ha sladdet før vi sendte rapportene fra oss, svarer sykehusdirektøren.

Gunnlaugsdottir sier samtidig at hun beklager å ha bidratt til å skape et feilaktig bilde av hvem som hadde tilgang til rapportene.

– Jeg har ved flere anledninger sagt at det var en håndfull personer som hadde kjennskap til rapportene. Fram til 24. august var det bare meg selv, Fred Mürer og Ida Bukholm som hadde rapportene. Jeg så at dette kom til å bli en krevende prosess som vi måtte forberede godt. Helse Nord fikk rapportene 24. august, før orienteringsmøtet. Kommunikasjonssjefen og konsulentene fra WA fikk rapportene mandag 24. august.

– Svært uheldig

Overlege Knut Magne Augestad forstår ikke hvorfor ledelsen i Helgelandssykehuset har involvert et PR-byrå i det han mener er et internt kvalitetssikringsarbeid.

Han understreker at dette er hans personlige oppfatninger om saken.

– Jeg har vært med i mange slike prosesser opp gjennom. Det er noe alle i helsevesenet må drive med hele tiden. Vi gjør ting som er bra og ting som er mindre bra. Det er derfor vi gjør dette arbeidet, for å lære og for å bli bedre. Særlig på små sykehus har vi sannsynligvis mye å lære av andre.

– Men jeg tror ikke et kvalitetssikringsprosjekt har foregått på denne måten noensinne. Vi har gått inn i dette med et tillitsforhold til administrasjonen. Når det da lekker ut i media og informasjonen blir delt med et PR-byrå, så setter det oss som jobber på gulvet i en veldig, veldig vanskelig situasjon.

Augestad reagerer også på at PR-byrået har fått en usladdet versjon av rapportene.

– Her er det høyst sensitiv pasientinformasjon. Det er få pasienter det gjelder og de er lett å identifisere. Så dette er, for å si det forsiktig, svært uheldig.

Gunnlaugsdottir sier til NRK at Helgelandssykehuset hentet inn PR-byrået fordi de har en en kommunikasjonsstab med begrenset kapasitet, og at de derfor har behov for ekstra bistand.

– Bistanden har blant annet vært knyttet til arbeid med kommunikasjon rundt Helgelandssykehuset 2025, korona-situasjonen, varslingssakene samt løpende bistand for å lette på det store arbeidstrykket vi har hatt det siste året. Videre så har vi hatt langtids sykefravær i senter for kommunikasjon som har skapt behov for ekstra ressurser.

Kan få konsekvenser

Susanne Lie i Datatilsynet sier til NRK at helseopplysninger, som er en såkalt særlig kategori av personopplysninger, har et spesielt vern i personvernregelverket.

Hun understreker at hun kommenterer saken på et generelt grunnlag.

– Behandling av helseopplysninger er som utgangspunkt forbudt. Dersom helseopplysninger skal utleveres eller behandles på annen måte, må den behandlingsansvarlige tilse at behandlingen er tillatt etter ett eller flere av vilkårene i personvernforordningen artikkel 9 nummer 2.

– Hvilke konsekvenser kan urettmessige utveksling av taushetsbelagte person/helseopplysninger få for helseforetaket?

– Igjen må vårt svar bli generelt. Utlevering av særlige kategorier av personopplysninger uten rettslig grunnlag vil kunne være et forhold som medfører en administrativ reaksjon fra Datatilsynet. Aktuelle virkemidler vil kunne være irettesettelse, pålegg eller overtredelsesgebyr.