Sjukehus la ut helseopplysningar på nett – brukte tre år på å varsle pasientane

I 2017 la Sjukehuset Innlandet ut informasjon om sjukehusbesøket til Tonje Brenna Fellingen og fleire andre personar på sine nettsider.

Opplysningane låg der i nesten ein time før dei vart fjerna. Først etter at NRK sende sjukehuset spørsmål om saka, nesten tre år seinare, tok dei kontakt med pasientane som vart råka.

– Eg fekk sjokk. Dei kunne ha tatt ein telefon. Det har faktisk nesten gått tre år. Eg kallar det ikkje ei unnskyldning. Dette er ikkje godt nok, seier den tidlegare pasienten ved sjukehuset.

Fryktar identitetstjuveri

Tonje Brenna Fellingen fryktar at nokon skal misbruke personopplysningane hennar, for eksempel til identitetstjuveri.

Sjukehuset publiserte teiepliktig informasjon om eit sjukehusbesøk ho var på for å få behandling for epilepsi. Mellom anna fødsel- og personnummeret, namnet hennar og at ho hadde vore til behandling ved avdeling for nevrologi og klinisk nevrofysiologi. Kring 70 andre personar er også råka, opplyser Sjukehuset Innlandet til NRK.

Sjukehuset skal alltid varsle pasientar i slike saker. Både Datatilsynet og Helsetilsynet skal òg bli varsla.

Det er Helsetilsynet ved Fylkesmannen og Statens helsetilsyn som skal følgje opp brot på teieplikta og pasientrettar. Helsetilsynet skal også vurdere om sjukehuset har overheldt informasjonsansvaret sitt overfor pasientane.

Først i juli i år, etter at NRK kontakta dei om saka, varsla Sjukehuset Innlandet sine pasientar.

Alice Beate Andersgaard, adm.dir. ved Sjukehuset Innlandet, seier at sjukehuset gjorde feil då dei valde å halde saka for seg sjølv.

Ifølgje Andersgaard var det berre fem personar som kan ha sett dokumentet tilbake i 2017. Informasjonen skal ha lege ute i 49 minutt.

– Vi gjorde ei vurdering som vi i etterkant har sett at var feil, seier direktøren i dag.

Fjerde sjukehuset

Sidan juni har NRK skrive om til saman tre sjukehus der store mengder helseopplysningar har blitt lagt ut på nett. I tillegg har Nordlys avdekka det same ved UNN i mai.

Fellesnemnaren er at informasjonen vert feilpublisert i sjukehusa sin offentlege postjournal.

Dette er lister med ei kortfatta oversikt over all kommunikasjonen mellom sjukehuset og utanforståande i løpet av ein dag. Slike lister vert kvar dag publisert på nettsidene til norske sjukehus. Poenget med lista er at utanforståande skal kunne søkje innsyn i kva sjukehuset driv med. Dersom saka omhandlar pasientopplysningar, vert det praktisk talt aldri gjeve innsyn i slike dokument.

Informasjonen om kvar korrespondanse inneheld som regel ein avsendar og mottakar. I tillegg til ein tittel som fortel kort om kva kommunikasjonen gjeld. Før dokumenta vert publisert, skal namnet og fødsel- og personnummer bli sladda. Vert dei ikkje det, kan ein lese svært mykje ut av desse listene.

Tittelen på dokumentet kan vere «bekymringsmelding» eller «spesialisterklæring». Mottakar kan vere eit barnevern- eller Navkontor. Den medisinske avdelinga der pasienten har vore til behandling er ofte sett opp som saksbehandlar. Der kan då for eksempel stå «skadelegevakt» eller «føde». Dersom sjukehuset i tillegg identifiserer pasienten med namn og person/fødselsnummer har sjukehuset brote teieplikta.

Det er her Sjukehuset Innlandet, Oslo universitetssjukehus, Sjukehuset Østfold og UNN har trådd feil.

Til saman har vi funne fleire hundre eksempel på slike teiepliktbrot i postlistene til desse sjukehusa.

Seier dei jobba med saka

Sjukehuset Innlandet seier no at dei allereie var gang med å gå gjennom sine postlister. Før NRK bad om innsyn i oppfølginga av feilen dei gjorde i 2017.

– Kva er grunnen til at de ikkje varsla før etter at NRK tok kontakt i sommar?

– I samband med at dette har vore ein sak som dessverre har kome opp på fleire sjukehus, så hadde vi parallelt med at NRK tok kontakt ein gjennomgang av våre eigne postlister om kva som har lege ut på nett dei seinaste åra, svarar direktøren.

NRK vart tipsa om saka av ein person som ønskjer å vere anonym. Vi har kopiar av dokumentet. Der kan vi lese at både pasientar, familie til pasientar og tilsette ved sjukehuset vert nemnde i tilknyting til saker som er underlagt teieplikt.

Barnevern og psykiatri

I fleire høve gjeld det svært sensitiv informasjon. Namna til barn og foreldre står svart på kvitt ved sidan av sakstitlar, mottakarar og avsendarar som saman viser at sjukehuset har sendt bekymringsmeldingar til barnevernet om familiane. Fleire pasientar ved psykiatriske avdelingar har også fått namna sine lagt ut på nett saman med opplysningar om kvar dei har vore til behandling og at legen deira eller Nav-kontoret på heimstaden har bede om ei spesialisterklæring om pasienten. Også helsepersonell involvert i tilsynssaker har blitt namngjevne.

Innrømmer å ha brote lova

– Har de brote lova om teieplikt?

– Ja, vi har lagt ut personsensitive opplysningar på nett og dette er no noko vi må ordne opp i, svarar Alice Beate Andersgaard.

Nokre dagar etter at NRK kontakta sjukehuset, den 13. juli, sette sjukehuset i gang med varsling av pasientar, Datatilsynet og Helsetilsynet. Fleire pasientar vart frustrerte på sjukehuset når dei fekk brevet, fortel direktøren.

– Kva reaksjonar har de fått frå pasientane?

– Det er ein del som har søkt råd og ein del som har vore fortvilte. Det forstår eg, seier Alice Beate Andersgaard.

– Eg vil beklage at dette skjedde. Eg vil og beklage at det tok så lang tid før personane som er råka fekk beskjed, seier adm.dir. Andersgaard.

Svekka tillit til sjukehuset

Tonje Brenna Fellingen er ein av fleire pasientar NRK har snakka med. Ho forventar at sjukehuset skjerpar seg.

– Tilliten min til sjukehuset er svekka, seier ho.

– Kva forventar du at sjukehuset gjer no?

– Dei bør gå gjennom rutinane sine. Ta ein telefon til alle som er ramma for å unnskylde seg. Dei bør og gje ei skikkeleg oppreising til alle som er ramma, svarar Fellingen.