Privat legevakt fikk ansatte til å bruke sjefens signatur på koronaattester

Nå får den private legevakten kritikk for praksisen av både Datatilsynet og ekspert Anne Kjersti Befring.

Legevakt Vest har i løpet av pandemien koronatestet 180.000 Oslo-folk. De har testet både på oppdrag fra Oslo og Bærum kommune, i tillegg til å ta private oppdrag.

Tidligere kostet en PCR-test hos Legevakt Vest 850 kroner. Ved negativt resultat, kunne man få en attest på dette for 150 kroner ekstra.

Mange av attestene ble signert med ansvarlig lege og daglig leder for Legevakt Vest sine initialer. «KLE» for Kari Lise Jacobsen Eidjar.

Flere ansatte forteller NRK at de fikk beskjed om å signere attestene med sjefens initialer, og stemple dokumentet med sjefens HPR-nummer.

NRK har sett tre slike attester. På dem står det «erklæring fra lege/statement from doctor». De er signert «KLE», og det står at personen som attesten er til har testet negativt for koronaviruset.

Burde klargjort bedre for ansatte

Å signere med noen andres navn er brudd på helsepersonelloven, ifølge førsteamanuensis Anne Kjersti Befring. Hun er ekspert på helserett.

– I loven stilles det krav til at attester er utstedt og underskrevet av riktig person, at de er riktige og at de som har utstedt de er habile, skriver Befring i en e-post til NRK.

Daglig leder Eidjar skriver i en e-post til NRK at selskapet delegerte bort ansvaret for å signere korona-attestene til de ansatte.

Hun sier de ansatte fikk beskjed om å signere «for» Kari Lise Eidjar, men at det virker som at ikke alle fikk denne beskjeden.

– Det følger av helt grunnleggende norsk rett at en ikke kan signere med en annens navn uten etter fullmakt. Basert på opplysninger fra ansatte ses det likevel at formalitetene ved bruk av delegert signaturrett burde vært klargjort bedre, skriver Eidjar.

NRK har tidligere skrevet om den mindreårige ansatte Legevakt Vest lot jobbe ulovlig lange dager – også etter at Oslo kommune kom på banen.

Kontrakten med Oslo ble innbringende for privatlegevakten som gikk over 8 millioner kroner i overskudd i fjor, mot et underskudd på rundt 13.000 før pandemien.

Ba ansatte dele sensitive passord

Å signere med sjefens navn er ikke det eneste de ansatte sier de ble oppfordret til.

Gjennom dokumentasjon fra ansatte kan NRK også avdekke det Datatilsynet mener kan sette opplysninger om både ansatte og pasienter i fare.

Ifølge de ansatte trenger de Buypass-kort for å logge inn på journalsystemene. Kortet brukes for å logge inn på tjenester med sensitive opplysninger, og kan sammenlignes med bank-ID.

– Buypass ID er personlig, uavhengig av om brukeren anskaffer direkte eller om vedkommende får det av sin arbeidsgiver, forklarer pressekontakt Janne Syversen i en e-post til NRK.

Hun understreker at Buypass-kortene er tilknyttet en persons personlige id-nummer, og derfor ikke kan deles.

Men alle som jobbet med testing på den private legevakten fikk ikke et eget kort. Det skal ha blitt begrunnet med at selskapet ikke hadde råd til å kjøpe kort til alle.

NRK har sett meldinger der ansatte i Legevakt Vest har sendt ut egne pinkoder for at kollegaer skal kunne logge på journalsystemene. Pinkode og passord ble blant annet sendt på Messenger.

– Jeg syntes ikke det var greit. Du leverer ut persondataen din, sier en av de ansatte som delte ut sitt Buypass-passord.

Personen ønsker å være anonym. Den ansatte skal ha blitt bedt om å la kortet ligge på jobb så andre kunne bruke det.

Datatilsynet kritiske til praksisen

Daglig leder Eidjar i Legevakt Vest bekrefter overfor NRK at ikke alle ansatte har egne Buypass-kort.

Ifølge Eidjar er ikke dette nødvendig, fordi de ansatte bruker godkjente flerbruker-maskiner på jobb, og fordi de logger inn med Buypass-ID på mobil.

Ifølge de ansatte måtte de kontakte kollegaer med Buypass-kort, ofte folk som ikke var på jobb, for at de skulle logge inn på sitt kort på sin mobil.

Juridisk fagdirektør Grete Alhaug i Datatilsynet mener praksisen til Legevakt Vest ikke ser ut til å være i samsvar med pasientjournalloven:

– Pålogging med felles bruk av påloggingsidentitet vil ikke tilfredsstille krav om tilgangskontroll. Det kan ikke spores eller logges hvem som har hatt tilgang til pasientopplysninger i systemet, skriver Alhaug til NRK.

Hun understreker at en arbeidsgiver er pliktig til å ivareta opplysninger om sine ansatte på en sikker måte.

– Basert på det vi er forelagt ser det ikke ut til å være samsvar mellom praksis i virksomheten og kravene til tilstrekkelig informasjonssikkerhet. Men svaret avhenger av hvilke risikovurderinger som ligger til grunn, skriver Alhaug.

Mener persondata ikke er på avveie

Eidjar sier Legevakt Vest kan spore hvem som har vært inne i journalsystemet sitt, og at selskapet har to separate journalsystemer.

Det journalsystemet de fleste ansatte har tilgang til inneholder kun informasjon om koronatestresultater, ifølge Eidjar. Dermed mener hun at personopplysninger om pasientene ikke er på avveie.

NRK har stilt kommuneoverlege i Oslo, Miert Skjoldborg Lindboe, spørsmål om både signeringen av legeattestene, og Buypass-delingen som skal ha foregått på Legevakt Vest.

Lindboe sier korona-attestene ikke har noe med Oslo kommune å gjøre.

– Hva tenker du om at en leverandør dere har benyttet har denne typen praksis?

– Jeg går ut ifra at man har det utstyret man skal ha for å gjøre jobben, sier Lindboe.

– Har dere fulgt opp den typen problematikk hos leverandøren tidligere?

– Ja, det følger man opp hele tiden. Vi har hatt diskusjoner på alle leverandører, også våre egne. Det er ting vi har fulgt opp. Og det står i avtalen at du skal ha utstyret til å gjøre jobben.