Herold

Helseaktøren Ecura skal ha ført pasientjournal i Microsoft Teams. Statsforvaltaren ser alvorleg på saka.

Saka samanfatta:

• Ecura Bo og Habilitering skal ha brukt Microsoft Teams til pasientjournalføring, trass i at plattforma ikkje er laga for dette formålet.
• Statsforvaltaren i Møre og Romsdal har sendt bekymringsmeldingar til Datatilsynet og Statens helsetilsyn om mogleg avvik og brot på personvern.
• Ecura presiserer at dette ikkje er ein nasjonal praksis og at Teams ikkje skal brukast til journalskriving.
• Datatilsynet behandlar saka.

Oppsummeringa er laga av ei KI-teneste frå OpenAI. Innhaldet er kvalitetssikra av NRK sine journalistar før publisering.

Den private helseaktøren Ecura Bo og Habilitering skal ha brukt Microsoft Teams til å føre pasientjournal i Hareid og Kristiansund kommune, trass i at det ikkje er laga for å vere eit journalsystem.

Ifølgje bekymringsmeldinga frå Statsforvaltaren skal mellom anna opplysningar om tvang ha blitt ført her, og Microsoft Teams skal ha blitt brukt som ein tilleggsjournal til det journalsystemet dei vanlegvis bruker.

Det kjem fram i to bekymringsmeldingar frå Statsforvaltaren i Møre og Romsdal, datert 18. november og 9. desember i fjor.

Fungerande områdedirektør hos Statsforvaltaren, Grete Teigland, seier at dei er uroa for om pasientopplysningane er godt nok sikra.

– Det er jo reglar for korleis helseopplysningane skal arkiverast og dokumenterast. Vi er ikkje sikre på om Teams er eit sikkert nok verktøy for denne typen informasjon.

Grete Teigland ser alvorleg på saka.

Teigland seier at dei ikkje er rette instans til å vurdere lovlegheita ved dette, og at dei derfor har sendt det vidare til Datatilsynet.

– Vi sende bekymringsmeldingane fordi vi er usikre på om dette er i tråd med krava, og ønskjer derfor at rette myndigheit skal vurdere det.

Ho seier at dei ser alvorleg på denne saka.

– Eit avvik

Ecura vil ikkje stille til intervju, men fagdirektør Jonny Finstad svarer i ein e-post via pressekontakten.

I ei av bekymringsmeldingane blir det stilt spørsmål ved om dette gjeld for heile landet, men det blir tilbakevist av Ecura.

– Praksisen som blir beskrive i bekymringsmeldinga er ikkje ein nasjonal praksis, men eit avvik frå våre rutinar. Når slike avvik blir avdekt så blir dei dokumentert i vårt avvikssystem og blir saksbehandla av våre leiarar og blir ein del av vårt arbeid for kontinuerleg forbetring.

Finstad presiserer i e-posten at Teams ikkje skal bli nytta for å føre journaldokument, eller vere arkiv for personsensitiv informasjon, men at det kan nyttast til andre oppgåver som ikkje er helserelaterte.

Les heile svaret frå Jonny Finstad i Ecura:

Innledningsvis er det nødvendig å informere om at vi ikke er vedtakseier i denne saken, men Ecura utfører tjenester på vegne av oppdragsgiver (kommunen). Vi mottok bekymringsmeldingen som kopi den 07.01.26. I etterkant av mottatt melding informerte vi oppdragsgiver om det vi mener er feilinformasjon i bekymringsmeldingen, nemlig at Ecura bruker Teams som journalsystem og at dette er en praksis nasjonalt.

Som en aktør som er ISO-sertifisert både innen informasjonssikkerhet (27001) og kvalitet (9001), er det helt avgjørende for oss å levere våre tjenester i samsvar med eksterne krav og forventninger. Alt av journalpliktig og journalverdig dokumentasjon skal være i elektronisk pasientjournal. I Ecura er vårt foretrukne journalsystem, Visma Flyt Helse, men vi benytter også oppdragsgiveres egne journalsystem hvis de ønsker det. Alle journaldokumenter, journalnotater og kontinuerlig journalføring av helsehjelp skal dokumenteres i journalsystemet.

Praksisen som beskrives i bekymringsmeldingen er ikke en nasjonal praksis, men et avvik fra våre rutiner. Når slike avvik avdekkes så blir de dokumentert i vårt avvikssystem og saksbehandlet av våre ledere og blir en del av vårt arbeid for kontinuerlig forbedring.

For å utdype så skal*ikke*Teams benyttes for journaldokumenter, eller som et arkiv for personsensitiv informasjon, men som et system som sikrer ansatte tilgang på prosesser og rutiner de trenger for å utføre jobben sin som ikke er helserelatert. Vårt rutinebibliotek i Teams er et lukket internt system med streng tilgangsstyring ut fra roller/stilling.

Svaret i si heilheilt, slik NRK fekk den på e-post. Det er ikkje omsett frå bokmål til nynorsk.

MICROSOFT TEAMS: Ifølgje Statsforvaltaren har det blitt ført pasientsensitive opplysningar i Teams.

Sak under behandling

Datatilsynet opplyser at saka er under behandling, og at dei derfor ikkje vil kommentere dei spesifikke detaljane.

Likevel svarer dei på generelt grunnlag at sikkerheitsbrot som råkar pasientjournalsystem kan vere svært alvorleg.

– Det er vanskeleg å sjå for seg at ein plattform som er meint til meir generell kommunikasjon kan tilfredsstille sikkerheitskrava som blir stilte til pasientjournalsystem, skriv juridisk fagdirektør i Datatilsynet, Susanne Lie.

Saka er under behandling hos Datatilsynet, og det kan ta 2–3 månadar før ein får svar.

Statens helsetilsyn opplyser at dei har mottatt bekymringsmeldinga, og at dei avventar med å opprette sak til Datatilsynet har behandla saka ferdig.

– Vi har svart og informert om at vi takkar for informasjonen, og har bede om å bli halde informert om Datatilsynets avgjerd i saka, skriv avdelingsdirektør Vigdis Malt Marøy i ein e-post.

Vidare skriv ho at det er primært Statsforvaltaren som skal følgje opp dette, men om noko endrar seg i saka, kan dette stille seg annleis.

I tett dialog med Ecura

Ottar Røyset er kommunalsjef for helse og omsorg i Hareid kommune. Han seier dei er i tett dialog med Ecura etter forholdet blei avdekt.

– I eit tilsyn som Statsforvaltaren har hatt, så blei det stilt spørsmål ved bruken av Teams i Ecura. Der blir ein usikker på om praksisen som har blitt gjort er innanfor lovverket når det gjeld journalføring.

Ottar Røyset seier Hareid kommune er i tett dialog med Ecura.

I Kristiansund kommune var dei ikkje kjend med bekymringsmeldinga før dei blei kontakta av NRK.

Kommunalsjef for helse og omsorg i Kristiansund kommune, Siv Iren Stormo Andersson, skriv i ein e-post at dei vil be Ecura om ei utgreiing av kva som har skjedd.

– Ivaretaking av personvern er absolutt, og det blir stilte ekstra store krav til sikkerheita i tenester som blir regulert av Helse- og omsorgstenestelova [...] På generelt grunnlag må ein vente at aktørar som yter helsehjelp har sikra sine data i samsvar med lov og forskrift.

Vikebladet Vestposten omtalte saka først.