Journalloggarna som kan kosta vårdgivare miljoner

Sju av åtta granskade vårdgivare fick betala sanktionsavgifter på mellan 2,5 och 30 miljoner kronor när tillsynsmyndigheten gick igenom hur personalens åtkomst till journalsystemen styrdes. Kraven i patientdatalagen har funnits sedan 2008, men många vårdgivare saknar fortfarande en fungerande kontroll av vem som läser vad.

Patientdatalagen ställer tre krav som hänger ihop. Behörigheter ska delas ut utifrån en dokumenterad behovs- och riskanalys. Den inre sekretessen gäller även inom den egna organisationen. Och all elektronisk åtkomst till patientuppgifter ska loggas, så att den går att följa upp i efterhand.

– Teknisk åtkomst är inte samma sak som rätt till åtkomst. Att en medarbetare kan öppna en journal betyder inte att hon får göra det, säger Robert Olsson, vd på Gisys, som arbetar med it-stöd och utbildning för vårdgivare.

Det var just detta som Datainspektionen, i dag Integritetsskyddsmyndigheten (IMY), slog ner på i sin stora granskning 2020. Sju av de åtta vårdgivarna hade inte gjort den behovs- och riskanalys som krävs, och personalens behörigheter var bredare än arbetsuppgifterna motiverade. Bland de granskade fanns både regioner och privata vårdbolag, och den högsta avgiften landade på 30 miljoner kronor.

För privata vårdbolag är frågan därmed inte bara juridisk. En sanktionsavgift slår direkt mot resultatet, och ett beslut från IMY är offentligt. Ansvaret ligger hos vårdgivaren, oavsett vilket journalsystem som används och vem som levererar det.

Loggarna räcker dessutom inte i sig. Lagen kräver att de kontrolleras systematiskt och återkommande, och att uppföljningen dokumenteras. I praktiken är det ofta här det brister, eftersom ett journalsystem kan generera stora mängder loggposter som ingen hinner gå igenom för hand.

– Många vårdgivare har loggarna men ingen rutin för att granska dem. Då upptäcks obehörig åtkomst först när en patient själv begär ut sitt loggutdrag, och då är skadan redan skedd, säger Robert Olsson.

Konsekvenserna stannar inte hos arbetsgivaren. Den medarbetare som utan behörighet går in i en journal kan åtalas för dataintrång. Det gör logguppföljningen till en fråga även för personalen, som behöver veta var gränsen går mellan att kunna och att få.

Gisys har utvecklat tjänsten SaLa, systematisk logganalys, som kan anslutas till valfritt vårdinformationssystem och flaggar misstänkt obehörig åtkomst i ett webbgränssnitt. Bolaget utbildar också vårdgivare i regelverket och hur det införs i verksamheten.