Hva skjer med journalen min? Hvilke faktorer er det som bidrar til, eller hindrer en sikker behandling av sensitive opplysninger i kommunen?

Abstract

Få områder har hatt en så hurtig utvikling som elektronisk databehandling (IKT). For 30 år siden var data for de fleste et ukjent begrep og svært få hadde kunnskap om hva det innebar. I dag kan en ikke tenke seg et moderne samfunn uten IKT. I begynnelsen av 1980 tallet begynte en gradvis å innføre IKT i kommunene. Dette skjedde først og fremst innefor merkantile oppgaver. Senere ble det utviklet programmer for bruk innenfor forskjellige fagområder som økonomi, personal, helse og sosialtjenesten m.m. I dag vil en finne egne program innefor de fleste områdene. Innføringen av IKT skjedde i de fleste kommunene i løpet av noen få år. Innføring av IKT medførte et helt nytt risikobilde. Det som tidligere lå nedlåst i arkivskap var nå på harddisker som mange ikke forsto hva var. En opplevde at opplysninger ble slettet, at en ikke fant dem igjen, eller at de kom på avveie. Bruken av IKT i kommunene øker kraftig. Dette stiller store krav til sikkerhet, og spørsmålet blir da: Kan vi som innbygger være sikre på at kommunen forvalter sensitive opplysninger på en sikker måte? Hvilke rutiner og sikkerhetssystemer har kommunene etablert for at personvernet skal bli ivaretatt? Hvilke faktorer er det som bidrar til, eller hindrer en sikker behandling av sensitive opplysninger i kommunen? For å undersøke dette ble det gjennomført en kvalitativ undersøkelse med intervju av åtte personer fordelt på fire kommuner. Alle jobber daglig med sensitive opplysninger i helse- og omsorgstjenesten. Det som var mest påfallende var mangel på rutiner. Det fantes noen rutiner, men for alle kommunene manglet det et en overordnet beskrivelse av hvordan personvernet skulle ivaretas. Flere påpekte at de hadde mange rutiner, men de var ikke nedskrevet. Det funnet som var mest alvorig var mangel på kontroll av de opplysninger som legges inn om den enkelte pasient. I dag foregår dokumentasjon elektronisk. Det var ingen av kommunene som hadde rutiner for å kontrollere at opplysningene som lå inne i fagprogrammene var korrekte. Dette til tross for at alle hadde opplevd at opplysinger manglet, eller var lagt inn på feil person.

I tillegg kom det fram at det i liten grad ble meldt fra om avvik når det ble oppdaget feil. De feil som oppsto ble løst der og da. De fleste hadde avvikssystemer, men disse ble lite brukt i forhold til data og personvern. Det kom også fram mangelfull opplæring av de som skulle benytte programmene. I alle kommunene fikk de ansatte tilgang uten at de hadde gjennomgått noe formell opplæring eller avlagt noe test på at de har nødvendig kunnskap. Alle kommunene hadde en form for opplæringsvakter hvor bruk av fagprogram inngår, men som en sa: ”Hvor god den opplæringen er, avhenger av hvor dyktig den som skal lære bort er”. Konklusjon: Svarene var stort sett like i alle kommunene. I de tilsyn som Datatilsynet har foretatt i kommunene kommer det fram mye av det samme. Det mangler mye på at den behandlingen som foretas av personopplysninger i norske kommuner er forsvarlig.