Á dögunum úrskurðaði Persónuvernd í tvíþættu máli sem sneri að öryggisveikleikum í Heilsuveru. Úrskurðurinn er ósanngjarn og fórnar meiri hagsmunum fyrir minni. Og þó sektin sé sú með því hæsta sem Persónuvernd hefur lagt á er hún sennilega einn þúsundasti af þeim skaða sem úrskurður af þessu tagi veldur íbúum þessa lands.

Rykfallinn róbóti

Mér hefur síðustu daga verið hugsað til rykfallna róbótans sem er hér fyrir framan skrifstofuna mína á Ísafirði. Þetta er í sjálfu sér bara fjarstýrð spjaldtölva, sömu tegundar og notaðar eru í Háskólanum á Akureyri með góðum árangri. Okkar tæki hefur samt safnað ryki síðustu misseri, meðal annars vegna þess að gildandi persónuverndarlöggjöf bannar notkun þess. Það að myndstraumur fari mögulega út fyrir landssteinana á leið sinni frá róbótanum í tölvu eða síma þess sem stjórnar tækinu er talið vera of áhættusamt svo réttlætanlegt sé að nota nota hann í heilbrigðisþjónustu. Hann er eitt dæmi um það þegar svo miklar kröfur eru gerðar til upplýsingaöryggis heilbrigðisþjónustu að við veitum minni og verri þjónustu en við annars gætum gert.

Forsagan er í stuttu máli þessi: Persónuvernd lagði stjórnvaldssekt að upphæð 12 m.kr. á embætti landlæknis vegna öryggisveikleika í upplýsingavefnum Heilsuveru. Embættið hafði tilkynnt um öryggisbrest þegar tveir einstaklingar náðu að sjá gögn sér óviðkomandi. Annars vegar var það vegna veikleika í skilaboðahluta Heilsuveru sem fól í sér að með breytingu á tengistreng gat innskráður notandi nálgast sér óviðkomandi skilaboð sem gátu verið persónugreinanleg. Hins vegar var það vegna veikleika sem gerði innskráðum notendum í mæðraverndarhluta kerfisins kleift að sjá viðhengi annarra einstaklinga í sjúkraskrárkerfi viðkomandi stofnunar. Aftur þurfti að breyta vefslóð handvirkt til að virkja villuna. Einhver atriði voru metin til málsbóta en önnur til þyngingar, til dæmis viðkvæmt eðli heilbrigðisupplýsinga. Þá var embættið sagt hafa veitt misvísandi og efnislega rangra skýringa við rannsókn málsins.

Of langt mál er að rekja úrskurðinn í meiri smáatriðum. Þó eru nokkur atriði sem strax koma upp í hugann við lestur hans. 

Í fyrsta lagi eru viðbrögð embættisins fumlaus, víðtæk og rétt. Strax og tilkynning barst var Heilsuveru lokað, tilkynning send til Persónuverndar, gallinn lagaður, lagfæringin tekin út af öryggisúttektarfyrirtæki, og vefurinn settur aftur í loftið um leið og öryggið var tryggt.

Þá kemur fram að staðfest er að enginn sótti viðkvæmar upplýsingar án heimildar, enginn hagnýtti þær á nokkurn hátt og gallinn var ekki meðvitaður eða hannaður til að gera nokkrum skaða.

Embættinu er brigslað um að veita rangar upplýsingar um eðli öryggisbrestsins og það talið til refsiþyngingar. Þar virðist ekkert hlustað á það að fyrsta tilkynning um brestinn var send samdægurs áður en rannsókn var hafin, beinlínis til að koma til móts við þær kröfur Persónuverndar að tilkynning berist svo fljótt sem verða má.

Þá er kvartað yfir seinagangi í svörum. Auðvelt er að reikna út frá dagsetningum í úrskurðinum að þetta er mjög ósanngjarnt. Meðalsvarstími embættis landlæknis er 13 dagar. Öryggisbresturinn var til dæmis tilkynntur samdægurs til Persónuverndar, og lengsti einstaki umsýslutíminn frá 29. júní til 13. september 2022, yfir mesta sumarleyfistímann. Svartími Persónuverndar var hinsvegar 93 dagar að meðaltali, og þó tveggja ára hlé á málinu frá ágúst 2020 til júní 2022 sé dregið frá, er meðalsvartími 26 dagar. Það er því verulega ósanngjarnt að telja drátt á úrlausn málsins vera embætti landlæknis að kenna.

Í stærra samhengi minnkar úrskurðurinn upplýsingaöryggi

Í andmælum sínum lýsir embætti landlæknis verulegum áhyggjum af því fordæmi sem Persónuvernd kunni hér að setja. Öryggisbresturinn var takmarkaður og var tilkynntur með réttum leiðum – fyrst frá sérfræðingi sem rak augun í hann, og svo til Persónuverndar – þar sem gripið var til víðtækra, snöggra og réttra aðgerða, sem staðfestar voru af utanaðkomandi upplýsingaöryggisfyrirtæki.

Eins og embætti landlæknis bendir á, er alþekkt hérlendis sem erlendis að sérfræðingar sem þessir leiti að veikleikum, hvort sem er samkvæmt beiðni eða óumbeðnir, og tilkynni ábyrgðaraðilum um þá. Stórfyrirtæki greiða gjarnan fyrir slíkar ábendingar og er það kallað bug bounty. Með sektarákvörðun í þessu máli verður slíkt mjög erfitt, auk þess sem ábyrgðaraðilar gætu farið að hræðast það að tilkynna öryggisbresti til Persónuverndar. Það er sannarlega ekki tilgangurinn með persónuverndarlöggjöfinni.

Í enn stærra samhengi er úrskurðurinn skaðlegur

Persónuvernd dæmir eftir persónuverndarlögum. En við sem störfum við heilbrigðismál þurfum að starfa eftir fleiri lögum og fyrirmælum. Fyrsta grein laga um heilbrigðisþjónustu segir til dæmis að markmið þeirra sé að allir landsmenn eigi kost á fullkomnustu heilbrigðisþjónustu sem á hverjum tíma eru tök á að veita til verndar andlegu, líkamlegu og félagslegu heilbrigði. Við höfum einnig heilbrigðisstefnu, byggðastefnu, lög um réttindi sjúklinga, fjárlög og ýmsa aðra bálka sem með einum eða öðrum hætti setja heilbrigðiskerfinu kröfur á herðar. Með fullri virðingu fyrir persónuvernd eru markmið þessara laga í mörgum tilvikum talsvert mikilvægari. Mér er til efs að margir setji persónuvernd sína framar heilsunni.

Þau eru vandfundin dæmin þar sem heilbrigðisstofnanir eru sektaðar fyrir að uppfylla ekki önnur lög sem fjalla um starfsemina. Persónuverndarlögin, með sínum sektarheimildum og nú dómaframkvæmd, ná að sekta sig fram fyrir í röðina. Á meðan heilbrigðiskerfið er hrætt við að brjóta persónuverndarlög – jafnvel þó brotin séu óviljandi og öllum skaðlaus – veitum við ekki „fullkomnustu heilbrigðisþjónustu sem tök er á að veita“. Nýsköpun, innan stofnana og utan, gengur hægar ef hún á sér stað yfir höfuð. Hér er meiri hagsmunum fórnað fyrir minni.

Sektin er miklu frekar 12 milljarðar

Sektin, 12 milljónir, ku vera með þeim hærri sem Persónuvernd hefur lagt á. Nú er það að vísu að mestu leyti bókhaldsæfing að ríkisstofnun krefji aðra ríkisstofnun um að greiða ríkinu sekt, en táknræn hlið málsins er óumdeild.

Mér er skapi næst að bjóðast til þess að Heilbrigðisstofnun Vestfjarða greiði sektina; það sér ekki á svörtu í hallarekstrinum hvort sem er. Annar valkostur er að Sjúkratryggingar Íslands gangi fram fyrir skjöldu. Stofnunin ver um talsverðum fjármunum, á stærðargráðunni einum milljarði, í að greiða ferðir íbúa landsbyggðarinnar til Reykjavíkur til að sækja sér þjónustu. Margar þessara ferða væru ekki farnar ef tölvutækni og fjarheilbrigðisþjónusta væri orðin ríkari þáttur í hversdagslegri heilbrigðisþjónustu.

Sannleikurinn er sá að þessi sekt hefur þegar verið greidd og verður greidd um langa framtíð af íslenska ríkinu, en þó einkum íslenskum notendum heilbrigðisþjónustu sem fá lélegri og dýrari þjónustu en hún þyrfti að vera. Íbúar landsbyggðarinnar hafa verulega verra aðgengi að heilbrigðisþjónustu, sérstaklega sérfræðiþjónustu. Þegar þeir fara til Reykjavíkur fá þeir hluta ferðakostnaðar endurgreiddan en ekki allan; vinnutímatap og ýmiskonar óbeinn kostnaður fellur til sem erfitt er að reikna nákvæmlega.

Þegar Persónuvernd lætur falla dóma og leggur á háar sektir vegna yfirsjónar sem var leiðrétt strax og hægt var, verður öll stafræn þróun í heilbrigðiskerfinu miklu þyngri en ella.

Kröfur um upplýsingaöryggi eru nú þegar of íþyngjandi

Segja má með einföldun að embætti landlæknis hafi tvíþætt hlutverk í stafrænni framþróun í heilbrigðiskerfinu. Annars vegar er það þróun miðlægra hugbúnaðarlausna, svo sem Heilsuveru. Það er í því hlutverki sem sektirnar eru lagðar á embættið. 

Hins vegar er það viðhald stefnu og eftirlit með rafrænum heilbrigðislausnum. Þar hefur embættið sett fram svokölluð fyrirmæli landlæknis um upplýsingaöryggi við veitingu fjarheilbrigðisþjónustu. Skjalið, sem er frá 2019, inniheldur skilgreiningar og leiðbeiningar, en einnig nokkrar verulega íþyngjandi kröfur um innskráningu, staðsetningu heilbrigðisstarfsmanns, geymslu heilbrigðisupplýsinga innan Evrópu (hvaða nafni sem þær nefnast) og annað.

Hvert í sínu lagi er hvert ákvæði kannski skiljanlegt. Saman valda þau því þó að allar þær lausnir sem koma tilbúnar frá framleiðanda – til dæmis róbótinn sem rykfellur fyrir framan skrifstofuna mína, Microsoft Teams í heild sinni, þ.m.t. sjálfstæðar myndavélar með Teams innbyggt, Zoom og allar lausnir frá bandarískum tæknifyrirtækjum – eru ónothæfar í fjarheilbrigðisþjónustu. Gildir þar einu hvort samskiptin séu milli heilbrigðisstarfsmanns og sjúklings, eða milli tveggja heilbrigðisstarfsmanna sem ræða málefni sjúklings.

Þannig er til dæmis gerð krafa um að sjúklingar skrái sig alltaf inn með rafrænum skilríkjum. Þetta þekkist ekki þegar fólk sækir heilbrigðisþjónustu á sinni heilsugæslustöð, og er kaldhæðnislegt í ljósi þess að aðgengi margra fatlaðra að rafrænum skilríkjum er enn óleyst viðfangsefni í íslensku stjórnkerfi.

Þessar kröfur eru verulega umfram það sem almennt gengur og gerist í ríkisrekstri. Þannig er í gildi heildarsamningur við Microsoft fyrir alla ríkisstarfsmenn og eru þær lausnir taldar fullöruggar fyrir öll samskipti – nema heilbrigðissamskipti. 

Þessar kröfur setja verulegar skorður á alla þróun fjarheilbrigðislausna og festa í sessi einokunarstöðu Origo á markaði með tæknilausnir í heilbrigðiskerfinu. Ég hef gagnrýnt þær á öðrum vettvangi, meðal annars við landlækni sjálfa, sem hefur skilning á sjónarmiðum mínum en hefur að öðru leyti vísað í persónuvernd og mögulegar sektargreiðslur við brot. Ég skil núna af hverju.

Hafi ég haft vonir um að landlæknir gæti liðkað þessi fyrirmæli sín eitthvað eru þær að engu orðnar núna. Ekki þegar embættið gerir allt rétt, fær á sig himinháa sekt og landlæknir er settur á forsíður vefmiðla sem tölvusóði í þokkabót.

Hvort er hættulegra?

Með þessu er ég ekki að segja að fara eigi óvarlega með heilbrigðisgögn. Heilbrigðiskerfið á að vanda sig og fara með heilbrigðisgögn varlega og af virðingu. Unnið er og gengið um þessi gögn af mikilli virðingu. En mistök gerast og það á ekki að refsa fyrir þau þegar þau eru óviljaverk, lagfærð strax og öllum skaðlaus.

Róbótinn er hér enn frammi á gangi og rykfellur. Núverandi regluverk segir að það sé of hættulegt að nota hann. Augljóst er að í stóra samhenginu er hættulegra að nota ekki þá tækni sem stendur til boða.

Við eigum að efla Heilsuveru, tengja heilbrigðisgögn saman, nota þær tæknilausnir sem alþjóðleg stórfyrirtæki þróa, auðvelda nýsköpun og þróun, og stórauka fjarheilbrigðisþjónustu. Þar eru stóru hagsmunirnir.