Det tekniska system som samlar hela vårdsveriges patientjournaler har brustit i säkerheten.
Under åtta dagar fick den Nationella patientöversikten, NPÖ, stängas ned eftersom det var stora brister i säkerheten och som bröt mot patientdatalagen.
– Det fanns en teoretisk möjlighet för personal som inte var inloggad att se på patientuppgifter, berättar Johan Assarsson tillförordnad VD på Inera AB som ansvarar för driften av NPÖ.
NPÖ används av samtliga landsting, 124 kommuner och ett flertal privata vårdgivare. Systemet har drygt 8 000 användare. Tanken med NPÖ är att ge säkrare vård över hela landet. Om du till exempel bryter benet i Uppsala kan läkare där komma åt dina patientuppgifter i Östergötland. Men det är bara personal som har en vårdrelation och som fått ditt samtycke som får tal del av uppgifterna. Är uppgifterna spärrade så får de inte ta del av uppgifterna över huvudtaget
Men nyligen var systemet alltså för öppet. Det var vid en rutinkontroll som säkerhetsbristen upptäcktes.
Landstingens system
NT har tidigare rapporterat om de brister som finns i det östgötska journalsystemet och som inte uppfylls av patientdatalagen. Journalsystemet är för öppet och samtliga 12 000 medarbetare inom länets sjukvård kan se allt om nästan alla patienter även om de inte har rätt till det. Enligt Johan Assarsson kan landstingens egna system även påverka hur tillgängligt patientuppgifterna blir i NPÖ.
– Helheten kan inte bli bättre än delarna, så är det ju. Allting bygger på de system som finns i landstingen. Men NPÖ ökar inte riskerna som finns lokalt, snarare tvärtom.
Johan Assarsson på Inera berättar att de inte fått någon signal om att känslig patientinformation varit synlig för obehörig personal.
– Och det har inte funnits någon risk för intrång. Problemet har varit att den som kommit efter någon annan som varit inloggad kunnat se uppgifter som den tidigare inloggade har tittat på.
Stora brister
Säkerheten kring patientuppgifter i NPÖ har visat stora brister även tidigare. Under 2010 upptäckte Datainspektionen att det var för bred åtkomst till patientuppgifter i NPÖ via Örebro landsting. Liksom det östgötska landstinget saknades Örebro tekniska verktyg för att förhindra att medarbetare enbart kom åt patientinformation som var nödvändigt för sitt sjukvårdsarbete.
Frågan är hur man kan säkerställa att inte samma sak händer igen.
– Det kan man inte garantera. Det är därför man måste göra rutinkontroller hela tiden, man kan inte lita på att systemen fungerar hela tiden, säger Johan Assarsson.
Fog för granskning
Landstinget Östergötland granskas just nu av Datainspektionen för att se vilken behörighet medarbetarna i sjukvården har och om de kan komma åt mer patientuppgifter än de borde (för bred åtkomst).
– Man kan nog konstatera att det finns fog att titta på NPÖ igen, säger Magnus Bergström, specialist på IT-säkerhet på Datainspektionen.
Reglerna för hur patienters uppgifter ska hanteras inom NPÖ regleras av Patientdatalagen och är samma som för landstingen, det som brukar kallas för inre sekretess. Men hur dessa efterlevs är okänt i dagsläget, enligt Datainspektionen.
– Det vet vi inte än, vi har inte granskat NPÖ på några år. Vi har heller inte granskat hur loggkontroller sköts i NPÖ, säger Magnus Bergström. Men det är samma krav på åtkomstkontroller i NPÖ som inom landstingen.
Syftet med NPÖ
Vilka uppgifter som andra vårdgivare i Sverige kan ta del av via NPÖ beror på vad landsting och andra vårdgivare har valt att göra synliga via NPÖ. Landstinget Östergötland delar så gott som allt; patientens kontaktuppgifter, diagnoser, läkemedel, vårdkontakter, vårdplan, undersökningsresultat, journalanteckningar samt ”uppmärksamhetssignal” som ska varna för att patienten exempelvis är överkänslig mot något läkemedel eller har någon allvarlig sjukdom.
– Andra landsting är mer restriktiva med vad de delar med sig av, säger Magnus Bergström.
LÄNKAR:
Här ser du alla i hela Sverige som kan komma åt östgötarnas patentjournal via NPÖ:
http://www.inera.se/TJANSTER--PROJEKT/NPO/Inforande1/Anslutna-vardgivare/
Här ser du vilka som Landstinget Östergötland har ingått sammanhållen journalföring med i länet:
http://www.lio.se/Patientinformation/Sammanhallen-journalforing/Vilka-vardgivare-ingar/