Epic-garanti efter Schrems II: Vi har aldrig udleveret data fra Sundhedsplatformen

Endnu et akt i teaterstykket er nu blevet tilføjet efter man har godkendt at Mastercard kan købe Betalingsservice.

Hvor er vi dog dygtige til at lægge alle vores æg i udenlandsk ejede kurve.

Njah. En årligt tilbagevendende begivenhed er når sommertid bliver til vintertid, og Sundhedsplatformen skal nurses igennem.

Korrekt. Men det er vel kun en lille del af problemerne?

Det er en gammel version, men jeg synes overskrifterne bærer ret meget præg af at snitfladerne er hovedproblemet?

Det hele bliver totalt absurd af at vores egne regeringer gennem årtier har tilladt NSA (og formentlig andre) at hente internet trafik fra kabler på dansk jord ... samtidig mener de at USA er et usikkert tredje land fordi selvsamme efterretningstjeneste muligvis vil kunne kræve data udleveret... Dét er svært at se det meningsfulde ...

Det ville desuden undre mig, hvis der ikke var gevinst hvis Datatilsynet tog på besøg hos de fleste infrastruktur-leverandører og for alvor gik i dybden assisteret af TEKNISK kyndige folk og ikke bare bad virksomhederne selv om beskrive deres politikker.

Alle kunder, med de offentlige i spidsen, har i årevis krævet lavere og lavere priser og tvunget alle leverandørerne til at offshore driften til alle mulige billig-arbejdskraft lande ... og Gorissen og Federspiel har sammen med andre advokathuse medvirket til at rådgive om udbud og kontrakter som kræver benchmarks og dermed presser leverandørens priser i en evigt nedadgående spiral.

Vi ligger som vi har redt ... stop klynkeriet

Man må til gengæld gerne "ikke sige man er blevet bedt om det." Så de hjemmesider der tager det seriøst har en sætning, fx. "Vi er aldrig blevet bedt om at udlevere dit data." Den må de gerne fjerne, hvis de er blevet bedt om det, for de har ikke sagt at de er blevet bedt om det. De siger bare ikke længere at de ikke har udleveret data.

Jeg mener at region Hovedstaden gør det rigtige. FISA-loven gør det ulovligt for amerikanske virksomheder at oplyse om overvågning, herunder kanariefugleordninger.

Ja, undskyld, hvis det er svært for mig at tage tilstrækkeligt alvorligt. Jeg ved snart ikke, hvor jeg skal starte.

Den ene, advokatfirmaet, taler om adgang for NSA/efterretningstjenester. En væsentlig del af sagens kerne (min markering):

»<strong>Personoplysninger, der transmitteres af Region Hovedstaden til Epic</strong> (henholdsvis indeholdt i supportanmodninger og i forbindelse med fjernadgang til Sundhedsplatformen), <strong>vil potentielt blive genstand for overvågningsprogrammer, der ikke er baseret på principper om nødvendighed og proportionalitet</strong>,« skriver Gorrissen Federspiel blandt andet.

Men for at sikre, at Region H lever op til GDPR efter Schrems II, skal der netop være begrænsninger for amerikanske myndigheders adgang til personoplysningerne, fastslår Gorrissen Federspiel i notatet.

Den anden, Epic, taler om – i sit brev til Region H – adgang for deres egne medarbejdere:

»Det er også vigtigt at huske, at <strong>I selv kontrollerer, hvem hos Epic der har adgang til persondata</strong> lagret i jeres Epic-system, og det samme gælder hvilke data, der bliver delt, og hvornår de bliver delt.</p>
<p><strong>I beholder absolut kontrol over, hvilke Epic-medarbejdere</strong> der har lov til at tilgå jeres systemer, og de sikkerhedsbegrænsninger, som gælder for deres adgang,« skriver Stirling Martin fra Epic i brevet.

Suk.

Databasen bør ligge på europæisk jord.

Adgang bør logges på europæisk jord.

Så kan vi selv tage stilling til, om der er hævet data via transatlantiske supportkonti.

Selvom man kunne ønske sig, at al debugging kan udføres uden produktionsdata, så er det ikke et rimeligt krav for drift. I hvert fald ikke i den rigtige Verden.

Det kan de ikke garantere. Under amerikansk lov er der nogen data requests som man ikke må sige man er blevet bedt om.

Man må til gengæld gerne "ikke sige man er blevet bedt om det." Så de hjemmesider der tager det seriøst har en sætning, fx. "Vi er aldrig blevet bedt om at udlevere dit data." Den må de gerne fjerne, hvis de er blevet bedt om det, for de har ikke sagt at de er blevet bedt om det. De siger bare ikke længere at de ikke har udleveret data.

Det er muligvis tilfældet i simple landskaber, men tager du tager de store implementeringer så er det i praksis ikke muligt at tage højde for integrationsflader som virker ind/ud af kernesystemet.

Det lyder super fornuftigt og ordentligt, det, I siger.

Men måske har det været sådan, at der har været så mange fejl, i Sundhedsplatformen, at Support/CIMT simpelthen har været nødt til at have adgang som default? Ellers vil det være (endnu mere) omstændeligt og tidskrævende?

Jeg ved – og synes – at det er en dårlig løsning. Men der har jo været så utrolig mange fejl i Sundhedsplatformen.

Nu kiggede jeg lige i min SP-mappe. Den rummer 49 elementer, kan jeg se, inklusiv 6 undermapper, overkategorier, underkategorier. Den fortløbende pressedækning har jeg kronologisk, fra januar 2016, og er nu på dokument 10. Til sammen udgør disse over 700 sider. Mappen fylder i alt 170 MB.

Jeg har ikke oprettet et dokument, der hedder ”SP Fejl”. Hvorfor egentlig ikke?

Tjo... Jeg vil tro, at det er fordi, det ville være for omfattende/tidskrævende. At sidde og hale artiklerne om fejl ud af alle de eksisterende. Fordi fejlene gennemsyrer så mange forskellige kategorier.

Fx. de, der hedder, SP: Patientsikkerhed, Medicinmodulet, Integrationer, Rigsrevisionen, De Kliniske Kvalitetsdatabaser, Driftsforstyrrelser, LPR 3, Effektivitet, etc.

Jeg bliver helt træt.

Hvis der meldes om en fejl, kan man næsten altid genskabe den i ens eget test- ellerudviklingssystem.

Det er muligvis tilfældet i simple landskaber, men tager du tager de store implementeringer så er det i praksis ikke muligt at tage højde for integrationsflader som virker ind/ud af kernesystemet.

Uden jeg kender Sundhedsplatformen i detaljer, vil jeg blive forbavset hvis ikke der er interfaces til 3. partssystemer som kørselsbestilling, blodprøver, laboratorieprøver, scanning, røgten, interfaces ud imod sundhed.dk osv. osv. Disse systemer afleverer og modtager data som skal indgå i patienternes journal.

Det kan du ikke bygge op i et testsystem – du er nødt til at lade support forgå ”i produktion”, men bare ikke fra USA.

Jeg mener at region Hovedstaden gør det rigtige. FISA-loven gør det ulovligt for amerikanske virksomheder at oplyse om overvågning, herunder kanariefugleordninger.

Det er et eksempel på uansvarlig overvågning som ødelægger (amerikanske) virksomheders forretning – for der er ikke nogen vej uden om at oprette en supportafdeling i EU og det ved både region Hovedstaden og Epic da Epic ellers mister ”forretning”.

Selvom EPIC siger at de ikke er blevet bedt om at udlevere data, så er det ligegyldigt, for det er risikoen for at de bliver tvunget til at udlevere det, som er sagens kerne.

Hvis der er risiko for at data ikke er ligeså godt beskyttet hos en databehandler fra et tredjeland, som det er i hænderne på en EU-virksomhed, må man ikke bruge dem.

Så længe amerikansk lovgivning siger at amerikanske virksomheder skal udlevere data og at de ikke må fortælle dataejer at de har gjort det, så er alle amerikanske virksomheder, uanset hvor databehandlingen finder sted, en risisko.

Den amerikanske regering har med sin lovgivning siden 2001 (og praksis), gjort det umuligt for amerikanske virksomheder at være databehandlere for EU-virksomheder, offentlige såvel som private.

Schrems II er bare endnu en bekræftelse på det.

Hvis man alligevel har sendt sine kunders eller borgeres data i den retning, så er det vel fordi man har valgt at snyde eller fordi at man er blevet snydt.

Jeg vil mene adgangen skal være lukket som default, og så kan der - med en åben support sag - lukkes op for enkelte supportmedarbejdere. Det er standard procedure for sikkerhed, efter min mening.

Samtidig har en række supportmedarbejdere mulighed for altid at tilgå alle data i Sundhedsplatformen via fjernadgang. Men adgangsforsøg bliver logget og overvåget af Region H - og Region H har mulighed for helt at lukke Epics adgang til Sundhedsplatformen.

Jeg vil mene adgangen skal være lukket som default, og så kan der - med en åben support sag - lukkes op for enkelte supportmedarbejdere. Det er standard procedure for sikkerhed, efter min mening.