Datatilsynet grip inn etter NRK-avsløring: – Kan vere øydeleggjande for dei som er ramma

NRK avslørte i dag at saka om dei over 200 pasientane som er ramma av journalsaka ved Oslo universitetssykehus, er langt meir alvorleg enn kva som har vore kjent til no.

Datatilsynet vil no krevje svar frå sjukehuset etter saka.

I mai innrømde sjukehuset at namn og personnummer på pasientane hadde vorte lagt ut i den offentlege journalen deira. Det sjukehuset ikkje fortalde, var kor detaljerte helseopplysningar som hadde lege ute.

No kan NRK avdekkje at sjukehuset heller ikkje opplyste Datatilsynet om kor sensitive opplysningar dei offentleggjorde, då dei i mai sende avviksmelding om saka.

– I den første meldinga vi fekk, vart vi berre orientert om at det var personnummer og namn som var lagt ut i den offentlege postlista til sjukehuset, stadfestar kommunikasjonsdirektør Janne Stang Dahl til NRK.

– Potensielt øydeleggjande

I avviksmeldinga til Datatilsynet, som NRK har innsyn i, blir det opplyst om nærare 275 tilfelle av at personnummer og namn er lagt ut.

Det sjukehuset ikkje opplyste om, var at det i dei same offentlege journalane òg låg ei rekkje sensitive helseopplysningar.

Gjennomgangen til NRK av journalane sjukehuset har publisert dei siste åra, avdekte mellom anna at over 60 personar er namngjevne i korrespondansar der barnevernet er involvert. Fleire av sakene gjeld òg bekymringsmeldingar til barnevernet.

I postjournalane fann NRK òg opplysningar om abort-inngrep, eteforstyrringar og kreft som har lege ute saman med fullt namn og personnummer.

– Dette er veldig alvorleg. Dette er djupt sensitivt, svært personleg og skal ikkje kunne komme andre for auge, seier direktør i Datatilsynet, Bjørn Erik Thon til NRK.

Han utdjupar:

– Dette kan potensielt vere øydeleggjande for liva til dei som er ramma. Dei kan bli stigmatiserte og få store utfordringar om opplysningane hamnar i feil hender.

Kjende ikkje til omfanget

I dag kom det fram at direktøren Geir Teigstad i Oslo Sykehusservice ikkje var kjend med at andre sensitive personopplysningar enn namn, personnummer og behandlingsstad hadde vorte offentleggjort i journalane til sjukehuset, før NRK gjorde han merksam på det.

– Som sagt så har eg heile tida hatt inntrykk av at vi har lagt ut metadata, altså namn, personnummer og avdeling som pasienten har vore på besøk ved. Og ikkje noko anna, sa Teigstad. Då vi 5. juni intervjua han om saka, uttalte han òg dette om opplysningane som har lege ute gjennom fleire år:

– Om dei er teiepliktige eller ikkje, det må vi komme tilbake til. Men uansett tok vi opplysningane vekk frå nettet i den augneblinken vi vart merksame på det.

Direktøren forklarer den knappe avviksmeldinga til Datatilsynet slik:

– På det tidspunktet meldinga vart send, var vi interessert i å sende informasjonen så raskt som mogleg. Vi beklagar at han ikkje inneheldt nok informasjon.

– Då vi skreiv til både dei ramma og Datatilsynet, la vi vekt på at personnummer og namn vart offentleggjorde, men ikkje overskrifta eller informasjonen frå sakstittelen. Det vil vi ta høgd for i ei ny sending til Datatilsynet.

NRK har òg sett brevet som gjekk ut til pasientane som var ramma. Dei har fått ein generell tekst som gjer greie for at personnummer og namn har vorte lagt ut. Om dei ønskjer meir informasjon om kva som har vore publisert, ber sjukehuset pasientane om å ta kontakt.

Men ingen fekk vite nøyaktig kva opplysningar som var lagt ut.

– Vi beklagar at vi ikkje gjorde det. Men vi har ikkje snakka om vi skal sende ut eit nytt brev til alle dei over 200 ramma. Det har vi ikkje teke stilling til, seier Teigstad.

Vil krevje fleire opplysningar

Kommunikasjonsdirektør i Datatilsynet, Janne Stang Dahl, stadfestar at dei på bakgrunn av NRK si sak no vil komme til botn i saka.

– Når vi får inn mangelfulle avviksmeldingar, er vanleg prosedyre herfrå å hente inn meir informasjon. Vi kjem derfor til å spørje etter ei nærare forklaring frå sjukehuset, og forventar å få inn utfyllande informasjon om hendinga så fort som mogleg.

– Kva er det som gjer at de beskriv dette som ei mangelfull avviksmelding?

– Det er ut frå dei opplysningane som har komme fram av NRK sin avdekking av saka, det var slik vi vart klar over dette, seier Stang Dahl.

Sterke reaksjonar på Stortinget

I helsekomitéen på Stortinget vekkjer saka reaksjonar hos både Framstegspartiet og SV.

– I dag vart det avslørt nok ein skandale knytt til lekkasje av personopplysningar. NRK kunne formidle at personopplysningar knytt til psykiatri, abort, barnevern og kreft saman med namn og personnummer til pasientar, har vorte lagt ut på Oslo Universitetssykehus sine nettsider, seier Åshild Bruun-Gundersen, helsepolitisk talsperson i Framstegspartiet.

Ho har no stilt spørsmål til helseministeren om saka. Ho vil vite om norske etatar generelt er i stand til å ta vare på personvernet til norske borgarar.

– Eg har i dag stilt eit spørsmål til statsråd Høie om han meiner nokon bør haldast ansvarlege i denne konkrete saka, og om han meiner vi kan stole på at dei opplysningane som blir gjevne til offentlege etatar blir verande personlege.

– Dette vil eg følgje nøye opp, for om vi ikkje kan stole på at informasjonen vi gjev til etatane blir verande anonyme, mistar vi tillit til offentleg sektor, seier Bruun-Gundersen.

Også Nicholas Wilkinson (SV) i Helse- og omsorgskomiteen reagerer:

– Det er heilt nødvendig at vi har tillit til helsevesenet. Denne krisa skader tilliten vår. Derfor må det ryddast opp, og vi må føle oss trygge på at det ikkje skjer igjen.

– Mange av sakene som dette gjeld er veldig personlege. Viss folk ikkje kan stole på at informasjon om dei mest personlege opplysningane deira er hemmelege, då kan vi i verste fall oppleve at nokon ikkje spør om hjelp, sjølv om dei treng det.