Per­sónu­vernd sektaði Heilsu­gæsl­una á Höf­uð­borg­ar­svæð­inu (HH) um fimm millj­ónir króna fyrir að hafa veitt tólf aðilum aðgang að sam­eig­in­legu sjúkra­skrár­kerfi HH án þess að sýna fram á að sú vinnsla per­sónu­upp­lýs­inga hafi verið heimil. Úrskurður þess eðlis birt­ist á vef Per­sónu­verndar í gær. Málið komst upp eftir að ein­stak­lingur kvart­aði undan upp­flett­ingum Sam­göngu­stofu í sjúkra­skrár­kerf­inu.

Úrskurður hvað það varð­aði féll síð­asta haust. Lokað var fyrir aðgang Sam­göngu­stofu í lok sept­em­ber eftir að emb­ætti Land­læknis gerði athuga­semdir við aðgang Sam­göngu­stofu. Í kjöl­farið rann­sak­aði Per­sónu­vernd aðgang­inn að kerf­inu og kom þá í ljós að á meðal þeirra sem höfðu aðgang að sjúkra­skrár­kerf­inu voru Knatt­spyrnu­sam­band Íslands, Flug­lækna­setrið og Janus end­ur­hæf­ing. Auk þeirra höfðu eft­ir­far­andi fyr­ir­tæki og stofn­anir aðgang að sam­eig­in­legu sjúkra­skrár­kerfi HH: Heima­þjón­usta Reykja­víkur, Heilsu­gæslan Höfði, Heilsu­gæslan Sala­hverfi, Heilsu­gæslan Urð­ar­hvarfi, Heilsu­gæslan Höfða Suð­ur­nesjum, Vel­ferð­ar­svið Reykja­vík­ur­borgar og Vinnu­mála­stofnun.

195 þúsund flett upp af 517 þúsund

Í úskurð­inum kemur fram að fjöldi skráðra ein­stak­linga sem flett hafi verið upp í kerf­inu af ein­hverjum ofan­greindra aðila, sé um 195 þús­und en í kerf­inu öllu megi finna 517 þús­und ein­stak­linga, lífs eða liðna, inn­lenda sem erlenda. Ekki séu hins vegar heilsu­fars­upp­lýs­ingar um alla umrædda ein­stak­linga til staðar í grunn­inum, þar sem stofnun sjúk­lings í sjúk­linga­grunn geti byggt á öðrum aðstæðum en beinni heim­sókn skjól­stæð­ings í leit að heil­brigð­is­þjón­ustu.

Í úrskurð­inum kemur fram að heil­brigð­is­starfs­mönnum sé heim­ilt, með leyfi ráð­herra, að færa og varð­veita sjúkra­skrár sjúk­linga sem koma til með­ferðar hjá þeim í sam­eig­in­legu raf­rænu sjúkra­skrár­kerfi, ef sýnt er fram á að það sé til þess fallið að tryggja betur öryggi sjúk­linga. Hins vegar liggur fyrir að leyfis ráð­herra var ekki aflað í til­vikum sem til umfjöll­unar eru í þessu máli, né var leitað stað­fest­ingar Per­sónu­verndar á að öryggi per­sónu­upp­lýs­inga væri tryggt í hinu sam­eig­in­lega sjúkra­skrár­kerfi. Af þessum ástæðum hafi Per­sónu­vernd sektað HH.

Ekkert tjón

Í yfir­lýs­ingu HH kemur meðal ann­ars fram að í ákvörðun Per­sónu­verndar komi fram að ekk­ert tjón virð­ist hafa orðið vegna máls­ins og að HH hafi brugð­ist hratt við athuga­semdum stofn­un­ar­innar. Eftir úttekt HH er eng­inn grunur um að þeir sem fengu aðgengi að sjúkra­skrá með samn­ing­unum hafi mis­notað aðgang­inn á nokkurn hátt.

Svo segir í lok yfir­lýs­ingar: „Nið­ur­staða Per­sónu­verndar var sú að HH hafi átt að afla leyfis frá stofn­un­inni og fá samn­ing­ana stað­festa af heil­brigð­is­ráðu­neyt­inu, sem hafi ekki verið gert. HH gengst við því að ann­markar hafi verið á með­ferð samn­ing­anna. Þegar hefur verið brugð­ist við athuga­semdum Per­sónu­verndar og er vinna við að fá samn­ing­ana stað­festa þegar í gangi. Að öðru leyti lítur HH svo á að mál­inu sé lokið.“