Riksrevisjonen: Ikke nok kontroll med hvem som leser pasientjournalen din

Stadig flere sykehus og andre helseinstitusjoner innfører nå nye systemer som gjør at helseopplysninger og pasientjournaler styres i moderne datasystemer .

Men gjennom den årlige selskapskontrollen hos Riksrevisjonen kommer det fram at det er for enkelt å få tilgang til din og min pasientjournal med sensitive helseopplysninger.

– Vårt inntrykk er at regelverket ikke tas helt på alvor, og at informasjon i praksis ligger åpent for alle i Helse-Norge, sier riksrevisor Per-Kristian Foss på en pressekonferanse hos Riksrevisjonen.

Riksrevisjonen konkluderer med disse problemene:

• Helsearbeidere har tilgang til pasientopplysninger de egentlig ikke trenger lese
• Det er ingen systematisk kontroll på hvem som har tilgang til helseopplysningene – blant annet for å avdekke personer som snoker i dine sensitive helseopplysninger
• Helseforetakene som er ansvarlige for sykehusene har heller ikke gode nok systemer for å styre og kontrollere hvem som kan lese din pasientjournal

– Jeg synes kanskje personlig at den alvorligste svikten vi påpeker er tilgangssystemene til elektroniske pasientjournaler, sier Foss.

Han mener at det ble gitt klare føringer fra Stortinget om gode systemer når sensitive helseopplysninger skulle behandles i elektroniske pasientjournaler.

Riksrevisjonen er kritisk til at dette ikke er i orden, og ber regjeringen rydde opp.

– Tilgang til helseopplysninger er underlagt streng lovregulering. Helse- og omsorgsdepartementet må sørge for at foretakene følger reglene, sier riksrevisor Per-Kristian Foss i ei pressemelding.

Helse- og omsorgsdepartementet har gitt sine merknader til rapporten og kritikken, og skriver at det arbeides systematisk med å forbedre systemene.

Høie: – Viktig med tillit til helsevesenet

Helseminister Bent Høie vedgår overfor NRK at det er alvorlige problemer som er avdekket av Riksrevisjonen.

– Det er viktig at pasientene kan ha tillit til at bare er de som må se journalen for å behandle dem i helsevesenet som ser informasjonen, sier Bent Høie.

Høie opplyser at de har foreslått å sette av 55 millioner kroner i statsbudsjettet til arbeidet med de elektroniske pasientjournalene.

Samtidig mener helseministeren at de nye elektroniske systemene faktisk gjør det enklere å ta snokere, og er bedre enn de gamle papirjournalene.

– De nye systemene som vi nå får på plass vil hindre nettopp dette fordi pasientene selv også ville kunne se hvem som har vært inne i journalen, sier Høie.

– Hva vil du si til norske pasienter som får høre at det ikke er god nok kontroll med hvem som ser på deres personlige helseopplysninger?

– Jeg tror ikke det er et utbredt problem med snoking i helsevesenet, men samtidig bør vi ha bedre systemer for å avdekke det, svarer helseminister Høie.

Loggfører hvem som leser, men ser ikke etter journalsnokere

De nye elektroniske systemene har alle sammen avanserte funksjoner for å holde kontroll med hvem som kan lese en pasients helseopplysninger.

Inkludert i disse systemene er også en logg som viser hvem som har lest en pasientjournal. Målet er at dette skal stoppe snoking og kunne ta eventuelle ansatte som urettmessig leser sensitive helseopplysninger de ikke skulle ha sett på.

Men Riksrevisjonen har avdekket at det er mange fine ord – for helseforetakene jakter ikke på journalsnokere.

– Undersøkelsen viser at ingen av helseforetakene gjennomfører systematiske loggkontroller på eget initiativ for å avdekke ureglementerte oppslag, som for eksempel snoking, skriver de i gjennomgangen.

Ifølge kontrollorganet har alle foretakene de så rutiner på papiret som skal sikre kontroll og stikkprøver. I gjennomgangen har Riksrevisjonen sett på foretakene Oslo universitetssykehus HF, Helse Bergen HF, St. Olavs Hospital HF og Universitetssykehuset Nord-Norge HF.

Men Riksrevisjonen har liten tro på at rutinene tar snokere slik de brukes i dag.

– Riksrevisjonen mener det nærmest vil være tilfeldig om helseforetakene oppdager snoking i pasientjournaler, skriver de.

Dette skyldes at de eneste kontrollene som gjøres med hvem som har lest en pasientjournal kommer etter krav fra pasientene selv.

NRK har tidligere skrevet om hvordan stadig flere pasienter selv ber om en sjekk på hvem som har lest pasientopplysningene deres.

Les også: Flere vil ta pasientjournal-snokere på fersken

Antallet som ønsker å se sin egen pasientjournal hos Universitetssykehuset i Nord-Norge har blant annet fordoblet seg på tre år.

Fylkeslegen i Troms, Svein Steinert, sa da til NRK at han mistenkte høye mørketall på helsepersonell som snoker uten at det blir oppdaget.

Han sier at helsepersonell kan ha flere motiver for å snoke.

– Det kan være at en ønsker å svekke troverdigheten til en annen person, for eksempel i skilsmisser og barnefordelingssaker. Det kan være sensitive opplysninger om rusbruk eller andre ting som svekker den andre parten. I tillegg er det nok noen som ikke tenker så langt og lar nysgjerrigheten ta overhånd, sa Steinert.

Les også: Se hva legen skriver om deg

– Gir for vide tilganger

Riksrevisjonen skriver også i rapporten sin om det de kaller tilgang «utover tjenstlig behov».

Med det mener de at ansatte i sykehus og helseinstitusjoner har tilgang til mye mer helseopplysninger om pasienter enn det de egentlig trenger for å gjøre jobben sin med å behandle dem.

– Om du brekker et bein trenger ikke nødvendigvis de som behandler det vite at du tidligere har fått psykiatrisk behandling eller hjelp for rus, sier riksrevisor Per-Kristian Foss.

Blant annet trekkes det fram hvordan oppsett i journalsystemene hos Universitetssykehuset i Nord-Norge gjorde at alle ansatte i hele avdelinger fikk tilgang i ett døgn.

– Dette innebærer at mange ansatte i disse timene har tilgang til journalen uten å være involvert i pasientbehandlingen, skriver Riksrevisjonen.

Riksrevisjonen har også avdekket at det i for stor grad ble gitt generelle tilganger til mer enn det de ansatte trengte.

De mener at helsepersonell får for vid tilgang uten at det er gjort en systematisk vurdering om de faktisk trenger å lese opplysningene.

– Ved flere helseforetak er det ansatte som har tilganger de selv ikke er klar over, skriver de.