Høring - forskrift om tilgang til helseopplysninger mellom virksomheter

Helse- og omsorgsdepartementet 

Sendt kun pr. e-post: postmottak@hod.dep.no

Høring - Forskrift om tilgang til helseopplysninger mellom virksomheter 

Det vises til ovennevnte høring, og vi takker for anledningen til å uttale oss.  

Høringsdokumentet har vært sendt til relevante organisasjonsledd i Legeforeningen og høringssvaret er behandlet av Legeforeningens sentralstyre.  

Forskriften omhandler hvilke krav som må være oppfylt i virksomhetene for å kunne gi helsepersonell i andre virksomheter tilgang til pasientjournalen.  

Som vi vil utdype under er Legeforeningen positiv til at helseopplysninger skal være tilgjengelig for relevant helsepersonell, uavhengig av organisatoriske grenser. Utviklingen i retning av en hensiktsmessig tilgang til helseopplysninger er bremset av at myndighetene ikke har vært villig til å stille krav til systemleverandør. Dessverre er dette fortsatt tilfellet.  

Dersom tilgang på tvers i noen utstrekning skal bli en realitet må ansvarlige myndigheter ta et mer aktivt grep om tilretteleggingen. Dagens journalsystemer og tekniske løsninger er umodne gitt tiltakets kompleksitet, og det fremstår uhensiktsmessig og dels urealistisk å pålegge virksomhetene/den databehandlingsansvarlige et slikt ansvar for utvikling og risiko som forskriften angir.  

Legeforeningen støtter prinsippet om at helseopplysninger skal være tilgjengelig for helsepersonell i forbindelse med helsehjelp, uavhengig av organisatorisk tilknytning

Ved høringen av pasientjournalloven ga Legeforeningen sin støtte til at det åpnes for mer fleksible løsninger for sikker informasjonsutveksling tilpasset hvordan helse- og omsorgtjenestene faktisk er organisert. Vi ga vår tilslutning til at dagens skille mellom tilgang til pasientopplysninger internt i en virksomhet og tilgang til opplysninger i andre virksomheter oppheves.  

I tråd med våre tidligere uttalelser gir Legeforeningen sin støtte til intensjonen i forskriftsforslaget om økt informasjonstilgang på tvers av organisatoriske grenser. Løsninger som forenkler og understøtter muligheten for å kunne innhente helseopplysninger mellom virksomheter kan bidra til en bedre helsetjeneste. God informasjonsflyt er en viktig faktor i pasientsikkerhetsarbeidet og kan redusere risikoen for feilbehandling og pasientskader. Våre medlemmer rapporterer om situasjoner der informasjonsflyten i dag ikke er god nok. Det kan for eksempel by på store utfordringer å innhente opplysninger fra andre institusjoner i øyeblikkelig-hjelp-situasjoner. Dette medfører et betydelig tidstap og kan representere fare for pasientene. Også utenfor øyeblikkelig-hjelp-situasjonene opplever våre medlemmer at informasjonsflyten ikke er god nok, eksempelvis ved at meldinger eller epikriser mellom helseforetak forsinkes, inneholder feil eller utilstrekkelig informasjon med de ulemper dette innebærer, for eksempel slik at dobbeltundersøkelser foretas eller diagnose/behandling blir forsinket. Ytterligere et eksempel som kan trekkes frem er når enhetene i kommunehelsetjenesten ikke får tilstrekkelig informasjon om behandling som er gitt eller iverksatt i spesialisthelsetjenesten, før de overtar behandlingsansvaret for en pasient, da også dette medfører store utfordringer.  

Legeforeningen støtter således et prinsipp om at helseopplysningene skal følge pasienten og være tilgjengelige for helsepersonell når det er nødvendig. Dette må gjelde ikke bare ordinære journalnedtegnelser, men også røngtenbeskrivelser, laboratorieverdier over tid m.m.  

Vi støtter også en intensjon om at det skal gjøres mulig å få tilgang via sikre elektroniske løsninger og ikke bare gjennom meldingsutveksling.  

Forskriftens intensjon om at helseopplysningene kun skal tilflyte dem som har behov for det for å yte helsehjelpen og at det skal være sikkerhet for opplysningene ikke kommer på avveie er også en nødvendig konsekvens av pasientens rett til vern om personlige opplysninger og helsepersonells taushetsplikt. Som vi kommer tilbake til nedenfor savner vi en større realisme i høringsnotatet hva gjelder de reelle konsekvenser for personvernet som forskriften eventuelt vil innebære.  

Forskriftens avtalemodell innebærer ikke noen god løsning på utfordringene

Legeforeningen er kritisk til modellen som myndighetene foreslår. Som det også erkjennes i høringsnotatet foreligger per i dag ikke de nødvendige tekniske løsningene i virksomhetene, verken i helseforetakene eller i mindre virksomheter, og journalene er i dag ikke strukturert eller tilpasset på en slik måte som forskriften forutsetter. Vi anser at den databehandlingsansvarlige med forslaget pålegges et ansvar det er lite realistisk å påta seg. Spesielt er det urealistisk for mindre virksomheter å oppfylle kravene som stilles, både hva gjelder den tekniske utviklingen som må skje og hva gjelder ansvaret for å sikre mot misbruk den ene eller andre veien.  

Legeforeningen forstår at forslaget for så vidt bygger på en allerede vedtatt lovbestemmelse der den databehandlingsansvarlige forutsettes en sentral rolle. Vi bemerker likefullt at myndighetene må ta et større ansvar i arbeidet med å tilrettelegge for tilgang på tvers av virksomhetene. Arbeidet bør for øvrig sees i sammenheng med «en bruker – en journal.»  

Legeforeningen påpeker at området er teknologisk sett både umodent og uprøvd. Ønsket funksjonalitet må først utvikles, for dernest å prøves ut i e-løsninger som piloteres. Pilotene bør også utformes slik at de kan gi svar på om denne type funksjonalitet gir så mye merverdi for effektivitet og pasientsikkerhet at det er hensiktsmessig å implementere dem i kommunikasjonsløsningene. Både kostnadshensyn og personvernhensyn tilsier at vi trenger mer kunnskap før et forskriftsarbeid gjennomføres og besluttes. Legeforeningen vil gjerne bidra i et slikt arbeide.  

Riksrevisjonens funn ved deres evaluering av elektronisk meldingsutveksling[1] er av interesse. I sin rapport understreker Riksrevisjonen betydningen av samordnet og samtidig aktivitet fra nasjonale myndigheter og aktører for å få til en hensiktsmessig innføring av meldingsutveksling. Revisjonen trekker frem at manglende formelle krav knyttet til å ta i bruk elektroniske meldingsutveksling og fragmentert ansvarsfordeling har bidratt til at aktørene står fritt til å prioritere innføringen av elektronisk meldingsutveksling ulikt, og anser at dette har svekket utviklingen. Legeforeningen vurderer at mange av Riksrevisjonenes synspunkter på elektronisk meldingsutveksling har gyldighet også hva gjelder tilgang på tvers. Vi håper at myndighetene vil bruke erfaringene herfra i det videre arbeidet.  

Legeforeningen antar at store virksomheter (helseforetakene) har bedre forutsetninger for å inngå avtaler etter forskriften. Men også for disse vil vi anta at avtalemodellen byr på ikke ubetydelige utfordringer. Avtalemodellen vil i seg selv medføre et stort og kostbart byråkrati – med et potensielt svært omfattende antall individuelt tilpassede avtaler. Vi har for øvrig oppfattet at helseforetakenes it-systemer ikke anskaffes på sykehusnivå, men at det i stor grad er regionene som treffer beslutninger om innkjøp, tilpasninger og drift. Hvordan helseforetakenes ulike regionale strategier passer inn i den foreslåtte avtalemodellen er muligens et spørsmål som bør vurderes.  

En avtalemodell der hver virksomhet forutsettes å inngå individuelt tilpassede avtaler kan være hensiktsmessig der det er ønskelig med individuelt tilpassede løsninger og stor grad av fleksibilitet. På foreliggende område er derimot en viktig innvending at man ikke får enhetlige og forutsigbare løsninger i og mellom virksomhetene. Ved en myndighetsstyrt løsning ville man derimot kunne oppnå dette, og samtidig fått en løsning hvor man enklere kunne avdekket eventuelle system- og tekniske utfordringer - som myndighetene i regelen ville være nærmest til å koordinere håndteringen av. Alternativet til avtalemodellen som forskriften skisserer kunne være at man i adresseregisteret har en synlig godkjenning/ sertifisering av virksomheter som har tilfredsstillende systemer og funksjonalitet og at man bare kan koble seg mot virksomheter som har dette.  

Etter høringsnotatet vil det være opp til den enkelte databehandlingsansvarlig om en virksomhet skal inngå avaler om tilgang. Hvis kravene i forskriften ikke er oppfylt, kan det under enhver omstendighet ikke gis tilgang. Høringsnotatet kan forstås dit hen at mange virksomheter nok ikke forventes å gå inn på løsningen, men som før kun utveksle informasjon i form av meldinger. Kanskje kan forskriften mest sees som et nødvendig skritt før ikrafttredelsen av pasientjournalloven – det har vært forutsatt at pasientjournalloven § 19 skulle utfylles ved forskrift. Det er i så fall viktig at dette ikke blir noen «hvilepute», da grunntanken om nettopp å styrke og tilrettelegge for effektiv informasjonstilgang på tvers av virksomhetsgrenser er viktig. Som påpekt i høringsnotatet så forutsetter samhandlingsreformen økt samarbeid mellom ulike behandlingssteder, uavhengig av om tjenestene skal leveres av kommunal helse- og omsorgstjeneste eller av spesialisthelsetjenesten. Det er uheldig i en slik situasjon om vi får et regelverk som tilsynelatende løser utfordringene, men som ikke reelt sett gir løsninger - fordi de som etter regelverket gis ansvaret, ikke har forutsetninger for å iverksette nødvendige tiltak.  

Vi har for øvrig notert oss at lovforslaget åpner for at tilgangen ikke må være gjensidig, men at for eksempel fastlegekontor og avtalespesialister ensidig kan få tilgang til f. eks lab data, røntgendata mm., samt epikriser fra tidligere opphold. Fastleger og avtalespesialister kan ha stor nytte av tilgang til historiske data fra sykehusene. Fagmiljøene oppfordrer til at det arbeides videre med tanke på å lette elektronisk tilgang til slike nyttige data i diagnosearbeidet for fastleger og avtalespesialister. 

Nærmere om personvernet – informasjonssikkerhet, risikovurderinger m.m.
Det er forutsatt i høringsnotatet at "Opplysningene kan i forbindelse med helsehjelp bare gjøres tilgjengelige dersom de er relevante og nødvendige for å yte den aktuelle helsehjelpen."  

Den databehandlingsansvarlige gjøres ansvarlig for at det er bare slike opplysninger som leses. Vi stiller oss imidlertid spørrende til hvordan departementet i praksis tenker seg at dette kan skje, gitt dagens journalsystemer og journalføringsrutiner. 

Vi oppfatter at man med forskriften ønsker å gjøre opplysninger mer tilgjengelige – samtidig som personvernet opprettholdes. I realiteten innebærer imidlertid prinsippet om tilgang på tvers av virksomheter at tilgjengeligheten av helseopplysninger økes – på godt og vondt. Vi kan ikke forstå annet enn at det i praksis er umulig å sikre at helsepersonell utelukkende får innsyn i opplysninger som er «nødvendige og relevante for den aktuelle helsehjelpen» når de går inn i andre virksomheters journaler for å søke opp opplysningene. Dette dilemmaet må erkjennes og åpent kommuniseres.  

Det er forutsatt at "Det er den databehandlingsansvarlige som bestemmer på hvilken måte opplysningene skal gjøres tilgjengelige[..].Den databehandlingsansvarlige må derfor foreta en nøye vurdering av på hvilken måte opplysninger skal kunne deles mellom virksomheter. Hva som er aktuelt kan vurderes ut fra hvilket personell som ønsker tilgang, herunder hyppigheten av behov for informasjon. Videre skal type opplysninger og grad av sensitivitet tas i betraktning.

Det forutsettes her svært konkrete og omfattende vurderinger, og vi er usikre på realismen rundt dette. Legeforeningen mener heller ikke at det kan være ansvaret til den databehandlingsansvarlige i hver enkelt virksomhet å avgjøre hva som er mer eller mindre følsomme opplysninger. Generelt bemerker vi at de mange individuelle vurderingene som skal gjøres kan føre til en ulik praksis mellom virksomheter og stiller spørsmålstegn ved om det er en ønsket utvikling.  

En virksomhet som vil gi andre virksomheter tilgang må ha vurdert risikoen ved dette og ha iverksatt eventuelle nødvendige tiltak for å begrense risikoen. Virksomheten må vurdere om kravene til konfidensialitet og tilgjengelighet er ivaretatt. En databehandlingsansvarlig kan bare gi tilgang til virksomheter som har etablert tilfredsstillende system for tilgangsstyring og kontroll. Videre skal nye risikovurderinger gjøres ved endringer i virksomhetene, f eks ved organisasjonsendringer i egen eller avtalepartens virksomhet, endringer i trusselbildet, endringer i egne IKT systemer eller hos avtaleparten etc.  

I alle fall for mindre virksomheter er dette krevende vurderinger å gjøre. Selv om også disse virksomhetene nødvendigvis må gjøre sine egne sikkerhetsvurderinger så må det som et utgangspunkt legges opp til større grad av standardisering samt gode tekniske løsninger med innebygd sikring.  

En modell kunne være at det først gjøres overordnede beslutninger på politisk nivå, for eksempel vurderingen av om gevinsten er større enn faren ved å tillate tilgang mellom helseforetak og fastlegekontor. Det er mindre hensiktsmessig at dette skal skje i hver relasjon som skal kobles mot hverandre. Ordningen kunne kanskje bli mer håndterbar dersom systemene til de ulike virksomhetene som tilfredsstiller minstekrav til informasjonssikkerhet ble gitt en slags godkjentstempel eller sertifisering. Så måtte dette eventuelt gi grunnlag for å åpne for tilgang på tvers - fordi det basert på grundigere politiske og faglige vurderinger var bestemt at denne kanalen er så viktig at den skal åpnes.  

Tilgangsnivå
Det må ved en eventuell vedtakelse og implementering av forskriften etableres nasjonale «default standarder» for tilgangsnivå. Disse må kunne tilpasses i den enkelte virksomhet etter dennes karakter, og også helt ned på enkeltpasientnivå.     

Tekniske krav til løsningene
Departementet anser at det ikke er hensiktsmessig med konkrete tekniske krav i forskriften. Det vises til at man trenger fleksible regler som tar høyde for den teknologiske utviklingen og at de skal gjelde for ulike virksomheter, behov og løsninger. I forskriften er det derfor lagt særlig vekt på organisatoriske forhold og funksjonskrav fremfor konkrete tekniske krav til løsningene. Flere av kravene forutsetter imidlertid at virksomhetene også har tekniske løsninger som gjør dette mulig.  

Legeforeningen savner en bredere vurdering rundt spørsmålet. Vi er igjen usikre på hensiktsmessigheten av å overlate ansvaret til den enkelte databehandlingsansvarlige. Slik vi ser det burde det være mulig å stille klare tekniske krav i en tilknyttet kravkatalog. Da kunne de enkelte leverandørene måles opp mot denne og ev avkreves en erklæring om hvorvidt systemene de leverer tilfredsstiller de aktuelle kravene. Katalogen kunne endres ettersom mulighetene og behovene endrer seg teknologisk eller på annen måte. Slik det nå gjøres oppfatter Legeforeningen at man stiller krav til funksjoner som det kanskje ikke er løsninger for i journalsystemet. Det er lite realistisk og langt fra hensiktsmessig at hver enkelt databehandlingsansvarlig, især i de mindre virksomhetene, skal gjøre individuelt tilpassede bestillinger overfor sine ulike journalleverandører. 

Kun leseadgang eller også skrivetilgang
Departementet ber om høringsinstansenes syn på om det bør åpnes for en begrenset skriveadgang i tilknytning til at det gis tilgang.  

Som utgangspunkt anbefales det ikke at en skal ha skrivetilgang i journaler utenfor eget arbeidssted. Prinsippet må være at helsepersonell verken kan eller skal gjennomføre sin dokumentasjonsplikt i andre virksomheters journaler som det gis tilgang til. En begrenset skriveadgang for visse situasjoner bør det likevel åpnes for, f eks slik at man kan gjøre korte merknader om eventuelle feil eller viktige nye opplysninger. Det kan også vurderes om skrivetilgang skal gis f.eks. ved en ”second opinion” eller der man ber om en særskilt uttalelse fra spesialist utenfor eget arbeidssted. En forutsetning må i så fall være at det klart kan fremgå hvem som har gjort nedtegnelsene og organisatorisk tilknytning for vedkommende. 

Vi har for øvrig fått innspill på at harmonisering av virksomheters bildelagringsarkiver og teleradiologiløsninger mellom samarbeidende virksomheter må være essensielle komponenter i arbeidet.  

Administrative og økonomiske konsekvenser
Under dette punktet bemerker departementet kun kort at forskriften bare stiller krav til virksomheter som ønsker å gjøre helseopplysninger tilgjengelige på den aktuelle måten. Ingen pålegges å gjøre dette. Forutsetningsvis oppfatter vi at departementet dermed ikke mener det er relevant å se nærmere på kostnader som forslaget vil innebære.  

Legeforeningen bemerker at virksomhetene vil pådra seg til dels betydelige kostnader, dersom de skal sette seg selv og avtalepartene i stand til å åpne for tilgang. Særlig problematisk vil dette være for næringsdrivende aktører som opererer innenfor et bundet prissystem.  

I en situasjon der det er erkjent et behov for enklere tilgang til informasjon på tvers av virksomhetsgrenser, og der prosjektet "en innbygger en journal" er under utvikling, så mener Legeforeningen at ansvarlige myndigheter burde ta et større økonomisk ansvar. Dersom myndighetene virkelig ønsker å åpne for informasjonstilgang mellom virksomhetene, må det må andre ord følge finansiering med forslaget.  

Med hilsen
Den norske legeforening

Saksbehandler: Aadel Heilemann

Dokumentet er godkjent elektronisk