I «gamle dager» ble opplysninger om pasienten sirlig skrevet ned og arkivert hos familielegen eller på sykehuset.

I vår elektroniske hverdag forventer vi at det vi trenger å vite er et tastetrykk unna, noe som også har endret informasjonshåndteringen i helsevesenet.

Et viktig aspekt er hvem som skal ha tilgang til hva slags informasjon. Fallgruvene er nemlig mange i forhold til personvern, taushetsplikt og administrasjon.

– Lovverket krever at det lages avanserte tekniske systemer for tilgangskontroll, og reglene er strenge, sier førsteamanuensis Øystein Nytrø ved NTNU.

Et helseforetak har for eksempel ikke lov til å utlevere informasjon uten pasientens samtykke, og den som mottar informasjonen må ha rett til å behandle den aktuelle pasienten.

– Prinsippet er at ingen skal få informasjon de ikke trenger, sier Nytrø.

Ikke tilpasset virkeligheten

Nytrø har – sammen med seks forskere fra NTNU, SINTEF og UiO – sett på hvordan ulike sykehus og helseforetak kontrollerer tilgangen til helseinformasjon, både praktisk og teknisk.

– Vi har sett på hva personalet får lov til og ikke får lov til. Grensene er nokså klare i forhold til personvern, lovverk og administrative regler.

– Tilgangskontroll skal være bygget inn i helseinformasjonssystemene, men det gjenstår mye før vi har pasientjournalsystemer som er tilpasset behov og praksis.

Intet system kan i dag forutsi nøyaktig hvem som har behov for hvilken informasjon i alle sammenhenger.

– Dagens modell for tilgang til helseinformasjon antar at alle sitter alene på kontor foran skjermen og jobber med én og én sak. Det passer dårlig med virkeligheten på et travelt sykehus, sier Nytrø.

Sitter i hodet

En hovedkonklusjon fra forskerne er at det beste vernet mot overtramp er det som sitter i hodet på helsepersonellet selv.

Det er allerede innebygd en god forvaltning hos dem som har tilgang til denne type informasjon:

– Praksisen som er utviklet er rett og slett bedre enn muligheten for et godt datasystem på dette feltet, slår Nytrø fast.

Med et aldri så lite hjertesukk:

– Som teknolog blir jeg litt frustrert over at det er så vanskelig å få på plass velfungerende IT-løsninger. De finnes, men de er svært krevende å administrere og vedlikeholde.

– Vi må erkjenne at vi at kanskje er urealistiske i troen på skreddersydde systemer som kan gjøre denne jobben.

– Norge har flere millioner pasienter, med mange mulige avvik og unntak per pasient, som egentlig er umulig å håndtere i et strømlinjeformet system med dagens teknologi, sier Nytrø.

Om ti år tror han imidlertid situasjonen vil være en annen.

Bedre samsvar

I det videre arbeidet skal prosjektet blant annet se på såkalt «optimistisk tilgangskontroll». Her er det bærende prinsippet at helsepersonell gjør det de tror er riktig, men at noen ser det de gjør – altså at de må stå til ansvar.

Det er delvis slik i dag, men Nytrø mener det må bli mer samsvar mellom praksis og policy. 

– Vi må ta utgangspunkt i det som gjøres i praksis. Vi kan ikke bygge personvern gjennom kontrollregimer, da vil folk bare måtte sno seg rundt teknologien. Derfor trengs en teknologi som støtter opp om det som er naturlig å gjøre.

– Det har jo fungert nokså bra med papirbaserte systemer, så det er ingen grunn til å sette opp kontrollsystemer som ikke fungerer i den digitale virkeligheten, sier Nytrø.

Lenker:

Mer informasjon om konferansen: IKT sikkerhet: Det kontinuerlige kappløpet

Prosjektet Integrated Access Control for Health Care Information Systems er gjennomført med støtte fra Forskningsrådets program «IKT – sikkerhet og sårbarhet».