Datatilsynet går til kontroll av NTNU (30.9.09, 08:55)

I dag, onsdag, gjennomfører Datatilsynet en såkalt kontroll ved NTNU etter mistanke om misbruk av pasientdata.

Etter tips fra Helsedirektoratet har Datatilsynet funnet det nødvendig å avdekke ved selvsyn hvorvidt et forskningsprosjekt ved Norsk senter for elektronisk pasientjournal (NSEP) ved NTNU har brukt identifiserbare pasientdata fra 110.000 journaler fra legekontorer på Vestlandet.

Pasientopplysninger på vidvanke
Det var i mai i år at Helsedirektoratet sendte en bekymringmelding til Datatilsynet etter å ha mottatt en søknad fra NSEP om bruk av pasientdata i et planlagt forskningsprosjekt.

De allerede eksisterende dataene det ble søkt om forskning på, hadde tatt veien fra selskapet Promed AS til NTNU uten at prosjektleder kunne gi en fyllestgjørende forklaring på hvordan data hadde endt opp på NTNU uten nødvendige tillatelser.

Pasientopplysninger er blitt brukt til et annet formål enn det pasientene har forutsatt. Ifølge Dagsavisen, skal i alle fall to forskere ha hatt tilgang til de omfattende antallet pasientjournaler, uten at det har vært innhentet personlig samtykke til denne bruken fra pasientene selv.

Datatilsynet: - Skjellig grunn
I dag møter Datatilsynet ledelsen ved NSEP og fakultet for å avdekke hvorvidt pasientopplysningene har vært brukt, til hvilket formål, og om opplysningene er blitt levert videre.

- Vi ønsker å undersøke om påstandene fra Helsedirektoratet er reelle. Ut fra den dokumentasjon vi har mottatt, ser vi funnet grunn til å foreta en kontroll, sier Cecilie L. B. Rønnevik i Datatilsynet, om begrunnelsen for å gå til dette skrittet.

Alvorlig skritt
Datatilsynet er satt til å føre tilsyn med at helseregisterloven blir fulgt, og har myndighet til å kreve opplysninger og samarbeid fra NTNU.

Kontrollen har karakter av en mellomting mellom en høring og et forhør, hvor NTNU i dette tilfelle må framlegge hvordan virksomheten har behandlet helseopplysningene, og en gjennomgang av NTNUs systemrutiner om informasjonssikkerhet.

Det kan også bli aktuelt å gjennomgå NSEPs informasjonssystemer og arkiv fysisk, og å ha samtaler med andre ansatte på enheten ettersom Datatilsynet finner hensiktsmessig.

I ytterste konsekvens kan Datatilsynet ilegge virksomheten straffegebyr.

Av:Tor H. Monsen
Forsiden: Mentz Indergaard/NTNU Info