Minnepinne med helseopplysninger forsvant sporløst

En minnepinne med helseopplysninger forsvant i postgang mellom (avsender) Helfo og Lovisenberg Diakonale Sykehus.

Det fremgår av melding til Datatilsynet, der personvernombud ved Oslo-sykehuset forteller at de ble kjent med avviket onsdag 28. februar 2024.

– Vi har for tiden ingen indikasjon på at uvedkommende har fått tilgang til data, men jeg har mangelfulle opplysninger om avviket og vil komme tilbake med mer informasjon, blir det opplyst.

Snart tre måneder senere har enheten ennå ikke kommet til rette.

Fysisk transport

Bruk av minnepinne for å oversende filer er ikke den vanligste praksisen, men det forekommer, især i helsevesenet. Det indikerer et søk i postjournalene på einnsyn.no.

– Minnepinnene er beskyttet med sterk AES-256-kryptering og passord, som sendes rekommandert eller med budbil, opplyser Johnny Mathisen, som er avdelingsdirektør i Helfo.

Etaten sender månedsrapport til 10 helseforetak under Helse Sør-Øst med slik fysisk transport av digitale filer.

Det skjer i forbindelse med oppgjør for legemidler.

– Finnes det ikke tryggere og mer effektive kommunikasjonsmetoder enn dette i 2024? Hva er alternativene?

– Vi bruker tosidet kryptert epost med krypterte filer til de andre helseforetakene, som sendes direkte fra Helsedirektoratet. Alternativt har vi Altinn og Norsk Helsenetts krypterte delingstjeneste, og det er i gang en prosess om dette, svarer Mathisen.

Ulike oppfatninger av hendelsesforløpet

Pinnen som forsvant skal inneholde informasjon om såkalte H-reseptlegemidler tatt ut av cirka 1400 pasienter for perioden oktober 2023.

– Filene som ligger i minnepinnen er strengt kryptert med passordbeskyttelse, det er i praksis umulig å knekke denne krypteringen. Sykehuset har dedikerte PCer som benyttes til scanning av minnepinner, før de kobles til.

Det opplyser personvernombud Erling Moldal ved Lovisenberg Diakonale Sykehus i en epost til Digi.

– Bring har ikke dokumentert til hvem/hvor pakken er levert, og den er ikke registrert inn i LDS’ oversikt over mottatte pakker. Vi har gjentatte ganger etterlyst opplysninger fra Bring om leveransen, utdyper han.

Her spriker forklaringene. Helfo har en annen oppfatning av hendelsesforløpet.

– Helfo står fast på at minnepinnen som er sendt fra oss 11.01 2024, er levert fra postkontoret i Nydalen. Minnepinnen er sendt rekommandert med posten. Vi ser av sporing av forsendelsen at den er ankommet Nydalen postkontor, og at den er levert. Vi forstår det sånn at når en rekommandert forsendelse er levert ut på postkontoret, så er den hentet av noen med myndighet til det. Hva som har skjedd etter at forsendelsen er levert fra Nydalen postkontor, kan ikke Helfo svare for, opplyser avdelingsdirektør Johnny Mathisen.

Hendelsen er uønsket, men har ikke medført noen konsekvenser, poengterer Moldal ved Lovisenberg sykehus, som legger til at Helfo har sendt en ny minnepinne med de samme opplysningene.