Annonse
digitalisering og offentlig it
Riksrevisjonen: Ikke oversikt over risiko knyttet til person- og helseopplysninger
Virksomheter med helseregistre har ikke vurdert risikoen godt nok, og de har ikke god nok oversikt over hvordan leverandørene ivaretar sikkerheten, mener Riksrevisjonen.
Folkehelseinstituttet, Helsedirektoratet og Statens legemiddelverk har ikke god nok oversikt over risikoen knyttet til person- og helseopplysninger i sine helseregistre, og de jobber ikke systematisk med risiko og tiltak.
Dette viser en fersk rapport fra Riksrevisjonen, som retter kritikk mot informasjonssikkerhet og tilgjengeliggjøring av person- og helseopplysninger i helseregistre.
– Det gjelder for eksempel risikoen for om det kan komme uvedkommende inn, sier riksrevisor Karl Eirik Schjøtt-Pedersen til Digi.
– Det andre, og det er minst like viktig, er at virksomhetene ikke har tilstrekkelig oversikt over hvordan forholdene er hos leverandørene av tjenestene de benytter, sier han.
Riksrevisjonen retter også kritikk mot at Helsedirektoratet og Folkehelseinstituttet ikke overholder lovpålagte frister for tilgjengeliggjøring av helseopplysninger til forskere.
Har også undersøkt forhold hos leverandøren
Det er Norsk Helsenett som er ekstern tjenesteleverandør for alle registre.
Riksrevisjonen har også undersøkt forholdene hos leverandøren, og konkludert med at viktige informasjonssikkerhetstiltak her ikke er implementert eller fungerer ikke etter hensikten.
Annonse
– De har ikke satt i verk tiltakene som er nødvendige for å redusere risiko. Det kan knytte seg til tilgangsstyring, og manglende loggføring, sier Schjøtt-Pedersen.
Det er ifølge Riksrevisjonen også svakheter i avtaleverket som er inngått med Norsk Helsenett.
Ansvaret ligger hos virksomheten, som må forsikre seg om at leverandøren ivaretar sikkerhetshensyn, understreker revisjonen, selv om de har avtaler med leverandører om drift.
Fire utvalgte registre
Undersøkelsen omfatter fire utvalgte registre, der de fant avvikene hos samtlige. Riksrevisjonen valgte ut disse ut fra en risikovurdering og analyser fra blant annet Datatilsynet:
- Dødsårsaksregisteret
- Meldingssystemet for smittsomme sykdommer
- Kommunalt pasient- og brukerregister
- Systemet for bivirkningsrapportering
Annonse
Virksomhetene som er dataansvarlig for disse helseregistrene er Folkehelseinstituttet, Helsedirektoratet og Statens legemiddelverk.
Den 63 sider lange rapporten leveres nå til Stortinget for at de skal kunne kontrollere Helsedepartementets oppfølging.
