Avslutning av tilsynssak – brudd på helselovgivningen

Unntatt fra offentlighet i henhold til offentlighetsloven § 13, jf. forvaltningsloven § 13 første ledd nr. 1

Statens helsetilsyn finner at Hadsel kommune har brutt helseregisterloven § 13.

Saksbehandlingsprosess og saksforhold

Statens helsetilsyn fikk ved brev av 18. april 2011 fra Helsetilsynet i Nordland oversendt en tilsynssak vedrørende organiseringen av journalsystemene ved legekontorene i Hadsel kommune, herunder Stokmarknes legekontor, Atlas helse og miljøtjenester AS og Smilende leger AS.

Bakgrunnen for tilsynssaken er en e-post fra XXXX hvor det fremkom at ”all pasientinformasjon på primærlegenivå for alle innbyggerne i Hadsel kommune, er gjort tilgjengelig for alle kontorene (offentlige og private)”, samt at slikt ”innsyn ikke kan spores el. er underlagt spesiell kontroll.”

Helsetilsynet i Nordland ba i brev av 8. september 2010 til Hadsel kommune om en uttalelse til opplysningene. Da Helsetilsynet i Nordland ikke fikk svar på henvendelsen, ble det purret på svar i brev av 15. oktober 2010. Helsetilsynet i Nordland mottok svar fra kommunen i brev datert 20. oktober 2010. Sektorleder for helse og omsorg i Hadsel kommune har oppgitt at det våren 2009 ble besluttet å slå sammen pasientdatabasene ved kommunens tre legekontorer.

På grunnlag av mottatte opplysninger besluttet Helsetilsynet i Nordland å opprette tilsynssak mot Hadsel kommune. Hadsel kommune ble i brev av 2. desember 2010 orientert om at journalsystemet var organisert på en ulovlig måte, og at tilsynsmyndigheten forutsatte at journalsystemet ble brakt i lovlig stand. Helsetilsynet i Nordland ba om en uttalelse om hvordan legekontorene ville følge opp saken.

Helsetilsynet i Nordland har mottatt svar fra legekontorene. Atlas legekontor og Smilende leger (Vesterålsklinikken) erkjenner at de ikke kan fortsette med et journalsystem som ifølge tilsynsmyndigheten er lovstridig. Legekontorene går inn for å legge ned sine virksomheter dersom det ikke finnes noen annen løsning enn oppsplitting av pasientdatabasene.

Hadsel kommune har i brev av 7. februar 2011 oppgitt at man ønsker å opprettholde en felles pasientdatabase av hensyn til å kunne yte forsvarlig helsetjeneste. For å etablere lovlig grunnlag for felles pasientdatabase, vil pasientene bli tilbudt mulighet til å reservere seg fra felles database. Informasjon om reservasjonsrett vil bli lagt ut på legekontorene, Nav og kommunens servicetorg.

Da det fremkom av kommunens redegjørelse at tilbud om reservasjonsrett var i henhold til opplysninger fra Datatilsynet, skrev Helsetilsynet i Nordland den 7. mars 2011 til Hadsel kommune og ba om å få tilsendt uttalelse fra Datatilsynet dersom dette forelå. I samme brev ga tilsynsmyndigheten uttrykk for at tilbud om reservasjonsrett ikke var i samsvar med ordlyden i helseregisterloven § 13 tredje ledd - "uttrykkelig samtykke fra den registrerte".

Hadsel kommune har senere opplyst at det ikke foreligger noen uttalelse fra Datatilsynet angjeldende den konkrete saken.

I brev av 24. mars 2011 oppgir kommunen at man vil tilskrive alle pasientene i kommunen og innhente deres samtykke til å være registrert i den felles databasen. De pasientene som motsetter seg eller ikke svarer på henvendelsen, vil bli fjernet fra databasen.

Statens helsetilsyns vurdering

Innen kommunen har rådmannen det øverste formelle ansvaret for legekontorene.

Vurderingstema er om organiseringen av journalsystemene ved legekontorene i Hadsel kommune er i overensstemmelse med helselovgivningen. Videre vil Statens helsetilsyn ta stilling til hvorvidt den foreslåtte løsningen med innhenting av pasientenes samtykke til å være registrert i en felles database tilfredsstiller lovens krav.

Det vises i denne sammenheng til helseregisterloven § 13, som lyder:

Bare den databehandlingsansvarlige, databehandlere og den som arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet, kan gis tilgang til helseopplysninger. Tilgang kan bare gis i den grad dette er nødvendig for vedkommendes arbeid og i samsvar med gjeldende bestemmelser om taushetsplikt.

Kongen i Statsråd kan i forskrift gi nærmere bestemmelser om tilgang til helseopplysninger. Forskriften kan for tilgang til helseopplysninger i behandlingsrettede helseregistre gjøre unntak fra første ledd første punktum.

Tilgang til helseopplysninger i behandlingsrettet helseregister på tvers av virksomheter kan bare gis etter uttrykkelig samtykke fra den registrerte.

Kongen i Statsråd kan i forskrift gjøre unntak fra kravet om uttrykkelig samtykke i tredje ledd, jf. § 2 nr. 11.

Én forespørsel om og tilgang til helseopplysninger i annen virksomhet kan bare omfatte én pasient om gangen.

Den registrerte har rett til innsyn i logg fra behandlingsrettet helseregister om hvem som har hatt tilgang til helseopplysninger om ham eller henne.

Det følger av bestemmelsens første ledd at tilgang til helseopplysninger i EPJ-systemer ikke kan gis på tvers av legekontorer. Dette innebærer at flere legekontorer som utgangspunkt ikke kan opprette et felles EPJ-system.

Etter lovendring 19. juni 2009 er det i bestemmelsens andre ledd gitt en forskriftshjemmel til å åpne for tilgang til helseopplysninger i EPJ-systemer på tvers av virksomhetsgrenser. Forskriftehjemmelen åpner ikke for at helsepersonell skal gis tilgang til flere helseopplysninger enn etter dagens regler, men at helseopplysninger kan tilegnes ved direkte tilgang fremfor utlevering fra annet helsepersonell. På nåværende tidspunkt er imidlertid slik forskrift ikke trådt i kraft.

Statens helsetilsyn er oppmerksom på at det av bestemmelsens tredje ledd fremgår at helsepersonell kan gis tilgang til helseopplysninger i EPJ-systemet hos et annet legekontor dersom det foreligger uttrykkelig samtykke fra pasienten. Etter vår oppfatning gjelder imidlertid denne adgangen først når det er gitt forskrift som nevnt over med hjemmel i bestemmelsens annet ledd. Denne forståelsen er bekreftet av Datatilsynet.

Under henvisning til redegjørelsen ovenfor legger Statens helsetilsyn til grunn at det på nåværende tidspunkt ikke kan gis tilgang til helseopplysninger i EPJ-systemer mellom legekontorer ved direkte tilgang, og at dette gjelder uavhengig av om pasientene har gitt sitt samtykke til en slik løsning. Opplysninger som er nødvendige for å yte forsvarlig helsehjelp må overføres på ordinær måte mellom legekontorene med hjemmel i helsepersonelloven § 25 første ledd første punktum og § 45 første ledd første punktum.

Statens helsetilsyn ser svært alvorlig på at journalsystemene i Hadsel kommune over tid har vært organisert i strid med helseregisterloven § 13. Vi forutsetter at tilgang til helseopplysninger mellom legekontorene i Hadsel kommune opphører all den tid forskrift gitt i medhold av bestemmelsens annet ledd ikke har trådt i kraft.

Konklusjon

Organiseringen av journalsystemene ved legekontorene i Hadsel kommune er i strid med helseregisterloven § 13.

Statens helsetilsyn ber Hadsel kommune innen én – 1 – måned redegjøre for hvordan de vil etterleve helselovgivningens krav på dette området og legge frem en handlingsplan for hvordan dette skal gjøres. Redegjørelsen og handlingsplanen sendes Helsetilsynet i Nordland, som vil stå for den videre tilsynsmessige oppfølgning.

Helsetilsynet i Nordland er orientert om dette ved kopi av dette brevet samt telefonsamtale den 20. september 2011.

Med hilsen

Geir Sverre Braut etter fullmakt
ass. direktør

Magnus Jenseg
rådgiver

Kopi:

Helsetilsynet i Nordland
Smilende leger v/ Anne K. Haug
Atlas legekontor v/ dr. Steinum
Datatilsynet

Helsefaglig saksbehandler: Svein Zander Bratland, tlf. 21 52 99 30
Juridisk saksbehandler: Magnus Jenseg, tlf. 21 52 99 35

Lenker om tilsynssaker