Helsepersonells håndtering av pasientopplysninger

Materiale og metode

Et spørreskjema ble sendt ut til 700 profesjonsutøvere, fordelt på tre av de 28 gruppene som er definert i helsepersonelloven § 48 første ledd. Fordelingen var som følger: 300 leger, hvorav 200 arbeider i sykehus og 100 primærleger, 200 helsesekretærer og 200 radiografer.

Hensikten med å velge disse tre profesjonene var å få svar fra grupper som er ulike, både med hensyn til type utdanning, arbeidsoppgaver og relasjon til pasientene. Blant legene valgte vi bevisst en overvekt av sykehusansatte, for å sikre at eventuelle forskjeller mellom profesjonsbestemte plikter og større virksomheters sikkerhetstiltak blir belyst. Ellers er uttrekket tilfeldig, men valget av helsesekretærer som gruppe innebærer en skjevhet i kjønnsfordelingen.

Undersøkelsen har vært fullstendig anonym. Den norske legeforening, Norsk helsesekretærforbund og Norsk radiografforbund produserte uttrekk, som de selv overførte til adresselapper. Ingen innkomne svar er på noe vis merket med avsender. Denne fremgangsmåten ble valgt fordi noen av spørsmålene gjaldt mulige brudd på lover og retningslinjer. Totalt kom det inn 395 svar av et nettoutvalg på 688 skjemaer, som gir en samlet svarprosent på 57,4 (49,2 % for helsesekretærer, 62,1 % for leger og 58,3 % for radiografer).

Spørreskjemaet inneholdt ulike spørsmål om respondentenes erfaringer med situasjoner som er direkte regulert i ulike lover (1 – 3). Relevant tekstutdrag fra lovbestemmelsen var gjengitt under det enkelte spørsmål i skjemaet. For noen av de situasjonene som gjelder virksomhetenes IT-sikkerhetstiltak er forbindelsen til lovtekstene mer komplisert, der var det i stedet valgt å sitere fra relevante avsnitt i helsesektorens veiledende norm for informasjonssikkerhet (7).

Hensikten med direkte sitater fra relevante regler var å tydeliggjøre hvert spørsmål. Skjemaet ble testet ut av to leger før det ble sendt ut. Vi har grunn til å tro at sitert regeltekst reduserte faren for å misforstå hva slags situasjon det enkelte spørsmålet gjaldt. Samtidig så vi en fare for at respondentene kunne bli mer opptatt av den siterte rettsregelen enn av selve spørsmålet. Derfor ble det poengtert i følgebrevet at vi var ute etter respondentenes faktiske erfaringer, og ikke etter å kartlegge kunnskap om rettsregler eller ferdigheter i å utøve en rett juridisk tolking.

For å begrense omfanget av spørreskjemaet, var ikke hver eneste relevant paragraf om håndtering av pasientopplysninger tatt med. Vi la vekt på å få med et bredt utvalg av ulike typer situasjoner som er regulert, for eksempel ble det bare tatt med spørsmål om en av opplysningspliktene etter helsepersonelloven.

Følgende områder var inkludert i spørreskjemaet:

a) Situasjoner som innebærer unntak fra taushetsplikten

Det finnes ulike bestemmelser som gir unntak fra taushetsplikten. Unntakene har ulike formål, og ulik modalitet. Ulik modalitet vil si at det i noen tilfeller skal gjøres unntak, mens det i andre tilfeller bør eller kan gjøres unntak. Tre bestemmelser i helsepersonelloven om unntak fra taushetsplikt var med i spørreskjemaet, nemlig spørsmål om å gi helseopplysninger om en avdød, pålegg fra overordnet departement om å avgi helseopplysninger til forskningsformål, og spørsmål om å gi opplysninger til barnevernet i omsorgssviktsaker. I tillegg hadde vi med et spørsmål om helsepersonell har brukt den muligheten som ligger i enkelte IT-systemer, til å gi seg selv tilgang til opplysninger (i noen sammenhenger omtalt som «nødrettstilgang»). Å skaffe seg selv tilgang til opplysninger opphever ikke taushetsplikten i rettslig forstand, men viser at behovet for pasientopplysninger i en konkret situasjon ble vurdert som større enn de tilgangene virksomheten tildelte etter sine ordinært fastsatte kriterier.

b) Situasjoner der pasienten stiller krav til håndteringen av opplysninger

Samtykke og medbestemmelse er utgangspunktene for pasientens rettigheter. Pasienten selv, eller en verge, har lovfestet rett til innsyn, og til å få korrigert opplysninger, unntatt i visse spesielle situasjoner. Andre rettigheter til medbestemmelse er av mer passiv karakter, slik som pasientens rett til å motsette seg at taushetsbelagte opplysninger gis videre til samarbeidende personell. Vi spurte både om situasjoner der respondentene hadde imøtekommet pasientenes ønske eller krav, og der hvor man ikke hadde gjort det.

c) Utfall av skjønnsmessige vurderinger

Mange regler om håndtering av pasientopplysninger inneholder en klausul om at helsepersonellet må vurdere konkret om andre hensyn kan veie tyngre enn den aktuelle plikten eller rettigheten. Det varierer hvor høyt listen ligger for at andre hensyn skal veie tyngre enn pasientens ønske. For å nekte innsyn brukes begrepene «påtrengende nødvendig» (hvis det er farlig for pasienten selv) og «klart utilrådelig» (for personer som står pasienten nær). Dermed skal det relativt mye til før det er gangbart å nekte innsyn. Vurderingstemaene er noe videre for en del andre regler, som for eksempel hvorvidt man skal etterkomme krav om sletting av opplysninger eller utsagn i en journal.

d) Etterlevelsen av regelverk

Vi hadde fem spørsmål som gjaldt situasjoner der det kan tenkes at man av og til bevisst ikke følger regelverket: Å gi opplysninger til helseregistre, gi journalinnsyn, rette journal, bruk av nødrettstilgang, og lese opplysninger om pasienter av nysgjerrighet eller av andre grunner som respondenten selv ikke anser som faglig eller etisk aktverdige. Det siste kalles ofte, med en utbredt sjargong, «snoking». Etter endring i helsepersonelloven (1) 9. mai 2008, fastsetter ny § 21a et uttrykkelig forbud mot snoking.

e) Virksomhetenes kontroll med håndtering av opplysninger

Virksomheter som yter helsehjelp er pålagt å avgrense de ansattes tilganger i IT-systemene. Spørsmålene i skjemaet gjelder helsepersonells erfaringer med hvordan virksomheten de er ansatt i etterlever denne plikten, og hvordan dette påvirker helsepersonells atferd.

Det kan være teknisk og praktisk vanskelig å avgrense ansattes tilganger i IT-systemer så presist at avgrensningen i seg selv gir tilstrekkelig sikkerhet mot regelbrudd. Derfor forventes en rimelig grad av etterhåndskontroll, for å avdekke om tilgangene bare brukes når det er nødvendig og i samsvar med taushetsplikten. Hovedelementene i etterhåndskontrollen er logging av hvem som har lest eller endret opplysninger, samt rutiner for å gjennomgå slike logger.

Resultater

a) Situasjoner som innebærer unntak fra taushetsplikten

40,8 % av respondentene har opplevd minst én av de situasjonene som er eksemplifisert i spørreskjemaet (tab 1). En av de fire situasjonene, pålegg fra departementet om å avgi bestemte pasientopplysninger til forskning, er imidlertid klart mindre utbredt enn de øvrige.

b) Situasjoner der pasienten stiller krav til håndteringen av opplysninger

Det er svært vanlig at helsepersonell opplever at pasienter gjør bruk av rettigheter til å påvirke håndteringen av opplysninger (tab 2). 63,8 % av respondentene har svart bekreftende på at de har vært i minst én av de fem situasjonene i spørreskjemaet som gjelder pasienters aktive bruk av sine rettigheter. Det mest utbredte eksemplet er forespørsel om innsyn.

c) Utfall av skjønnsmessige vurderinger

For alle de spørsmålene som kartlegger utfallet av respondentenes skjønn, er det en klar overvekt av beslutninger som er i overensstemmelse med pasientens ønske. Blant leger har 83,3 % (i sykehus) og 84,2 % (i annen virksomhet) vært i situasjoner der de har etterkommet pasienters ønsker om håndtering av opplysninger. Prosentandelene er en del lavere for de andre profesjonene (tab 3). Den samlede andelen respondenter som har vært i situasjoner der de etter en skjønnsmessig vurdering ikke etterkommer pasientens ønske, er 8,9 %. Ansatte i sykehus befinner seg sjeldnere i situasjoner der utfallet av skjønnsmessige vurderinger er i strid med pasientens ønsker enn de som arbeider i annen virksomhet (tab 4).

d) Etterlevelsen av regelverk

3,5 % av respondentene har «snoket» i løpet av de siste to uker. Ytterligere 8,9 % har «snoket» for mer enn to uker og mindre enn to måneder siden. Når man legger til de 5,1 % som har «snoket» for mer enn to måneder siden, har til sammen 17,6 % av respondentene gjort dette minst én gang.

Den nest største kategorien regelbrudd gjelder også bruk av IT, selv om problemet nærmest er det motsatte av «snoking»: 5,1 % har minst én gang latt være å lese opplysninger som de mener de burde ha lest, fordi de har vært hemmet av tanken på at IT-bruken kanskje kan spores. Tallene for øvrige regelbrudd i denne undersøkelsen var vesentlig lavere (tab 5).

e) Virksomhetenes kontroll med håndtering av opplysninger

26,5 % av respondentene har opplevd så sterkt begrenset tilgang til opplysninger at det har vært et reelt hinder i arbeidet (tab 6). Halvparten av disse har opplevd så sterke begrensninger i løpet av de siste to måneder.

Svært få har opplevd at virksomheten har stilt spørsmål om hvilke grunner de har hatt for å lese eller håndtere helseopplysninger om en bestemt pasient. Fire respondenter har opplevd å bli konfrontert av sikkerhetsansvarlig, IT-ansvarlig, personvernombud eller tilsvarende funksjon i virksomheten med spesielt ansvar for håndtering av opplysninger. Kun én respondent har opplevd slik konfrontasjon fra en overordnet med personalansvar.

Selv om få har opplevd å bli konfrontert med mistanke om at opplysninger er lest eller håndtert urettmessig, er det ikke helt uvanlig at tanken på en mulig etterhåndskontroll fører til selvsensur. 15,6 % har unnlatt å lese opplysninger fordi de har vært engstelige for, eller mislikt tanken på, at handlingen kanskje logges. Som oftest har selvsensuren «riktig retning»: 76,7 % av disse har unnlatt å lese opplysninger som egentlig er dem uvedkommende. Imidlertid har også 35,9 % av samme gruppe unnlatt å lese opplysninger som de burde ha lest.

Til sist stilte vi spørsmål om hvordan respondentene sist fikk formell opplæring om regler for behandling av pasientopplysninger. Andelen som svarte kurs/etterutdanning i regi av arbeidsgiver var godt under halvparten av andelen som svarte at de ikke har fått formell opplæring i tråd med nyere lovgivning på området.

Diskusjon