Høring - Invitasjon til å gi innspill til Datatilsynets nye veileder om overvåkning av ansattes bruk av elektronisk utstyr

Veilederen er sendt på høring blant Legeforeningens yrkesforeninger og er behandlet i foreningens sentralstyre. Legeforeningen har medlemmer som sitter på "begge sider av bordet": noen er arbeidsgivere (fastleger, avtalespesialister osv.), andre er ansatte (sykehusleger, kommunalt ansatte leger mm.) For Legeforeningen er det viktig at begge perspektiver er godt ivaretatt i veilederen.

Under følger våre innspill til veilederen.

Innhold og utforming

I våre innspill knyttet til innhold og utforming har vi lagt særlig vekt på at veilederen må være enkel å forstå og bruke selv uten bakgrunnskunnskap om regelverket.

• Veilederen bør minne om de grunnleggende prinsippene for behandling av personopplysninger helt innledningsvis, og ikke bare under overskriften "Unntak fra forbudet". Dette er viktige prinsipper å ha med seg i hele vurderingen.
  Veilederen nevner de mest relevante regelverkene, men det gjøres ikke klart for leseren hva som er sammenhengen mellom disse. E-postforskriften fremstår som den primære rettskilden på feltet, men rettskildemessig er denne underordnet arbeidsmiljøloven, som igjen er underordnet personvernforordningen. En praktisk veileder skal ikke nødvendigvis gå inn i rettskilders rang, men vi mener likevel at leseren i dette tilfellet bør gjøres kjent med de grunnleggende prinsippene for hvordan rettskildene vektes i forhold til hverandre. Det er viktig for forståelsen at personvernforordningen og de grunnleggende prinsippene etableres som et bakteppe for de øvrige reglene.
• Det bør fremgå enda tydeligere av veilederen at overvåkning kan være en belastning for de ansatte selv om vilkårene for overvåkning er oppfylt. Fafo-rapporten om "Kontroll og overvåking i arbeidslivet 2019" viser at kontroll- og overvåkingssystemer basert på direkte
  overvåking av ansattes digitale kommunikasjon oppleves som en kilde til stress blant ansatte. Slik overvåkning kan ha negative konsekvenser både når det gjelder personvern og arbeidsmiljøbelastninger. Dette må arbeidsgiver ta med seg i vurderingen av om man skal innføre et overvåkningstiltak.
• Ut ifra formuleringen i e-postforskriften § 1 er det vanskelig å fastslå hva som er virkeområdet for forskriften. Etter bestemmelsens første ledd bokstav b gjelder forskriften arbeidsgivers rett til innsyn i opplysninger som er lagret i "personlige områder" i "virksomhetens datanettverk" eller "annet personlig utstyr".
  
  Refererer "personlig områder" både til "virksomhetens datanettverk" og "annet elektronisk utstyr" eller kun til førstnevnte? Hvis det gjelder for begge, vil innsyn i opplysninger lagret i ikke-personlige områder falle utenfor forskriften.
  
  Samtidig gir forskriften § 2 inntrykk av at virkeområdet er videre enn det som er beskrevet over. Her fremgår det at forskriften gjelder overvåkning av "elektronisk utstyr". Dette er noe langt mer enn kun "personlige områder" på elektronisk utstyr.
  
  For Legeforeningen er det, ut ifra ordlyden, ikke åpenbart at forskriften omfatter data som lagres om helsepersonells oppslag i pasientjournalsystem. Slike opplysninger er ikke knyttet til et "personlig område" (selv om det enkelte helsepersonell har en egen bruker). Ut ifra veilederen ser det imidlertid ut som at slike data er omfattet.
  Vi viser her til eksempel under "Unntak fra forbudet" – logging.
  
  Legeforeningen er kjent med at det ikke er Datatilsynets anliggende å endre eller presisere selve forskriften. I veilederen kan Datatilsynet likevel med fordel klargjøre virkeområdet for forskriften. Da vil det være helt klart hva slags type overvåkning veilederen gjelder.
• Det er brukt mange gode eksempler i veilederen. Dette gjør den mer praktisk og anvendbar.
• Det kan være nyttig med en sjekkliste, men sjekklista som nå fremgår av veilederen har begrenset nytteverdi. Den må gå mer i detalj om den skal kunne brukes i praksis. Som et eksempel kan nevnes at på det første spørsmålet "Innebærer tiltaket behandling av personopplysninger?" er det ikke klart hva man skal gjøre hvis svaret er nei. Det står at reglene i personvernregelverket ikke gjelder, men omfatter det både personopplysningsloven og e-postforskriften, eller kun førstnevnte? Dette spørsmålet har en sammenheng med vårt innspill om rettskildenes rang og forhold til hverandre. Sjekklista kan også fremstilles enda mer pedagogisk dersom man er mer grafisk, f.eks. ved å bruke et "valgtre" eller lignende. Sjekklista bør etter vårt syn komme helt til slutt, etter at det er gitt råd til arbeidsgiver og arbeidstaker.
• I "Råd til arbeidsgiver", som burde være en slags oppsummering av veilederen, introduseres det en del helt nye temaer, slik som innebygd personvern og DPIA. Det kan være
  hensiktsmessig å si noe om disse kravene tidligere i veilederen. Det kan for eksempel gjøres i en samleside om krav som følger av andre kilder enn e-postforskriften.
• Det fremgår under "Hva er omfattet av forbudet?" punkt 1 at Datatilsynet har vurdert at lydopptak av telefonsamtaler faller utenfor. Det er ikke klart hvorfor dette ikke omfattes, og Datatilsynet kan med fordel si noe mer om dette.
• Det er ikke alltid tydelig hva som er kategorier, eksempler osv. Under "Unntak fra forbudet – å avdekke eller oppklare sikkerhetsbrudd i nettverket" er det for eksempel listet opp tre tiltak: spamfilter, logging og data loss prevention. Det er ikke klart om dette er de tre eneste unntakene (vi antar at det ikke er det), eller om dette bare er tre eksempler.

Øvrige temaer

Når det gjelder hvilke øvrige problemstillinger det er behov for veiledning om, vil Legeforeningen særlig trekke fram to temaer.

Signal

Det ene temaet er bruken av verktøyet Signal som del av Helseplattformen. Signal kan brukes for å kartlegge tidsbruk i ulike aktiviteter i journalsystemet. Arbeidsgiver oppgir at formålet er å identifisere hvor ansatte har utfordringer med bruk av systemet. Det er ment å gi støtte til de ansatte, og gi grunnlag for å forbedre systemet. Arbeidsgiver har gjort det klart at innsamlede data ikke skal brukes til virksomhetsstyring eller overvåking av ansatte.

På inneværende tidspunkt har ikke arbeidsgiver gjort det klart hvorvidt innsamlede data vil være anonyme eller pseudonyme. Det er imidlertid vanskelig å se for seg at opplysningene reelt sett vil være anonyme, all den tid mange oppgaver enkelt kan spores tilbake til enkeltpersoner. Dette gjelder særlig fordi ansatte har spesialiserte oppgaver, for eksempel oppfølging av enkelte diagnoser eller gjennomføring av en spesiell type utredninger. Når flere oppgaver sees i kombinasjon er det risiko for at det er mulig å identifisere ansatte.

Etter veilederen forstår vi at det generelt sett vil kunne gjøres unntak fra forbudet mot overvåking ved logging i forbindelse med tilgangsstyring, for eksempel ved oppslag i journal. Det fremstår ikke like klart om logging med hensikt å forbedre et system/en løsning til bruk i arbeidet vil omfattes av unntaket i bestemmelsen. I slike tilfeller vil det ikke være snakk om å avdekke eller oppklare sikkerhetsbrudd i nettverket. Etter bestemmelsens ordlyd kan dermed verktøy som kartlegger tidsbruk med hensikt å forbedre et system, falle utenfor unntaksbestemmelsen, og dermed være forbudt.

Legeforeningen mener at det er et klart behov for veiledning om denne typen logging, og ber om at Datatilsynet tar opp dette i veilederen. I den sammenheng kan Datatilsynet gjerne fremheve prinsippet om dataminimering. Da vil arbeidsgivere få en påminnelse om å vurdere om det i det hele tatt er nødvendig å behandle personopplysninger for å oppnå formålet med behandlingen, og i så fall hvilke.

Legeforeningen ønsker også å gjøre Datatilsynet oppmerksom på funksjonaliteten Signal slik at tilsynet kan vurdere om dette er noe som krever nærmere oppfølging ovenfor Helse Midt.

Statistisk logganalyse

Det andre temaet vi vil trekke fram, er innføringen av statistisk logganalyse ved flere av landets helseforetak. Vi antar at Datatilsynet er kjent med hva dette er, men beskriver for ordens skyld tiltaket kort.

Statistisk logganalyse er et verktøy for å identifisere ulovlige oppslag i helseforetakenes pasientjournalsystemer. Verktøyet sjekker alle oppslag i pasientjournal og merker de som burde kontrolleres manuelt. Løsningen tar utgangspunkt i at det som statistisk sett er vanlige oppslag, sannsynligvis også er lovlige oppslag. Disse blir derfor ikke merket. Løsningen vil "beskrive" hva som er vanlig versus uvanlig gjennom kombinasjoner av flere scoringsmodeller (scenarioer). Oppslagets samlede score avgjør hva som bør kontrolleres manuelt. Formålet er å hindre at det gjøres ulovlige oppslag i pasientjournalene, og med det ivareta pasientenes krav på konfidensialitet. Statistisk logganalyse er i første omgang innført ved Oslo Universitetssykehus. Det er også under innføring i Helse Bergen. Prosjektet har møtt stor motstand fra de ansatte, og Legeforeningen har hatt tett kontakt med tillitsvalgte i begge helseforetak.

Legeforeningen er naturligvis enig i at det er svært viktig å begrense ulovlige oppslag. Vi er likevel kritiske til at det skal skje en automatisk etterkontroll av hvert enkelt oppslag. Det kan oppleves som en mistenkeliggjøring av helsepersonell på generell basis. For leger, som i sitt arbeid ofte vil ha behov for å gjøre svært mange oppslag i pasientjournaler, vil følelsen av mistillit og overvåking kunne bli særlig belastende. Det er også mulig å se for seg at ansatte blir så redde for å “gjøre noe galt” at de vil begrense oppslagene i journalsystemet mer enn det som er ønskelig ut fra forsvarlighetskravet i helsepersonelloven § 4. Bruk av lite treffsikre metoder kan føre til at arbeidstakerne føler at de blir mistenkeliggjort simpelthen fordi de har gjort jobben sin, noe som verken er juridisk eller etisk forsvarlig.

Legeforeningen mener statistisk logganalyse er en type overvåkningstiltak der vurderingen av forholdsmessighet og formålsbegrensning blir særlig viktig. Legeforeningen er sterkt kritiske til den usikkerhet som råder om de ansattes personvern på dette området. Vi mener at det er et klart behov for at Datatilsynet her følger opp helseforetakene tett, og ber også om at Datatilsynet tar opp dette i veilederen.

Med hilsen
Den norske legeforening
Jus- og arbeidsliv

Siri Skumlien
generalsekretær

Lars Duvaland
direktør

Saksbehandler: Gjertrud Bøhn Mageli, advokat/rådgiver