Patientdata färg - Teldok

När information läcker
Tre anmälningar till Datainspektionen 2003–2004
om läckage och andra brister i vårdinformationssystem
• En anmälan från sommaren 2003 kommer från en mans vars exfru är läkare
och som för honom beklagat sig över att hon inte kom in i hans journal när
hon började på en enhet i psykiatrin, eftersom hon befann sig i fel distrikt.
Mannen skriver: ”Jag bad då min läkare att koda min journal så att bara hon
har tillgång till den.” Även efter det har exfrun beklagat sig över att hon inte
kommer över mannens uppgifter. ”För någon vecka sedan sa hon att hur hon
än bär sig åt så kommer hon inte in i min journal.” DI svarade: ”Av vad som
framkommer i ditt brev har inte någon obehörig person haft åtkomst till dina
personuppgifter. De bestämmelser om direktåtkomst och säkerhet som finns
i vårdregisterlagen och personuppgiftslagen synes därför ha fungerat.” Ingen
åtgärd – men anmälan ger ändå ett exempel på en situation där till och med
blotta hotet om tillgång till journaluppgifter kan fungera som ett vapen i en
konflikt.
• Hösten 2003 gjorde en patient en anmälan mot en ortoped på en privat klinik
i Malmö. Patienten hade kvarstående nackbesvär efter en trafikolycka. ”När
läkarsekreteraren tog emot mig och tog upp personalia frågade hon mig om
jag eventuellt hade frikort, vilket jag förnekade. Hon satt vid en dataskärm och
gav in mitt personnummer och tryckte på någon knapp. Hon gick sedan till
en skrivare och kom tillbaka med en lista och anmärkte att jag hade rätt ofta
varit hos ’psykiatrikern”. Hon pratade därefter med läkaren. När jag bad om att
få se listan vägrade hon mig det. Sedan slängde läkarsekreteraren pappret.”
Patienten, som tidigare varit anställd vid kliniken, frågade hur man kan skydda
sig mot integritetskränkningar av liknande slag och hur man som anställd kan
gardera sig för att chefer inte kommer över sådan här känslig information. ”Vad
kan jag göra för att listan med psykiatrikerkontakter skall utplånas? Hur vet jag
att så har skett? Kan jag få reda på vilka som har fått ta del av mina uppgifter
ur databasen?” Ärendet ledde inte till någon åtgärd. DI svarade att man vid en
tillsyn kan fråga om det finns rutiner för att kontrollera loggarna. ”DI gör dock
inte bedömningar av om sjukvårdspersonalen i det enskilda fallet behövde ta
del av vissa personuppgifter för att kunna utföra sitt arbete.” Patienten hänvisades
till Socialstyrelsen när det gäller frågor om vad en patientjournal ska
innehålla och om utplånande av uppgifter i en patientjournal.
• En tredje anmälan som kom våren 2004 ledde däremot till att DI startade ett
tillsynsärende. Men den gången var det inte någon patient som klagade på
någonting som faktiskt hade hänt. Istället var det en hyrläkare som anmälde
en vårdcentral i Härnösand för ”undermåliga rutiner”, som han upptäckt när
han arbetade där två år tidigare. Han fick varken användarkod eller lösenord,
utan fick använda de som en av läkarsekreterarna hade. ”Därefter uppstod
en del oegentligheter med journalerna som innebar svårigheter att försvara
mina åtgärder som läkare vid rubricerad vårdcentral gentemot anmärkningar
som riktats mot mig från socialstyrelsen.” Det handlar om kopior som inte
varit korrekta och saknad journal för en patient. Doktorn berättar också om
två signaturer som användes i hans namn – de något märkliga ”skitidet” och
”letmein”. Han ville ha hjälp av DI med att få ut de journaler han hanterat under
sin tjänstgöring – men DI hänvisar till landstinget i Västernorrland.
27