Region H mørklægger datasikkerhed i Sundhedsplatformen: Datatilsynet har ikke ført kontrol

Illustration: Rigshospitalet
Region H har overstreget alle detaljer i rapporter om datasikkerheden hos Sundhedsplatformens amerikanske leverandør. Datatilsynet har ikke kontrolleret omstændighederne for Epics behandling af danske patientdata i USA.

Sundhedsplatformen overfører hyppigt danske patientdata til behandling hos leverandøren i USA, men det er en hemmelighed, hvordan den amerikanske leverandør sikrer de danske data.

Det viser en aktindsigt i to rapporter om datasikkerheden hos Epic, som leverandøren har sendt til Region H i 2017 og 2018, hvor regionen har valgt at overstrege stort set al læselig tekst i dokumenterne.

»De oplysninger, der undtaget i henhold til § 30, nr. 2, er oplysninger, der beskriver tekniske indretninger, der er relevante for at dokumentere leverandørens håndtering af informationssikkerhed på det niveau, der er beskrevet i databehandleraftalen mellem Region Hovedstaden og Epic,« skriver Region Hovedstaden i sin begrundelse.

»Det er Region Hovedstadens vurdering, at en offentliggørelse af disse oplysninger vil indebære en nærliggende risiko for, at Epic påføres økonomisk skade af nogen betydning.«

Læs også: Sundhedsplatformen sender ikke-anonymiseret sundhedsdata til USA

Version2 kunne tilbage i januar fortælle, at Sundhedsplatformen i mere end tusind tilfælde har sendt danske sundhedsdata til behandling hos den amerikanske leverandør, og at der i flere tilfælde er tale om ikke-anonymiseret data.

Det sker blandt andet i forbindelse med fejlretning, der udover USA og Danmark foregår i Storbritannien, Holland og Finland.

Ingen kontrol fra Datatilsynet - endnu

Heller ikke hos Datatilsynet har man kendskab til den faktiske sikkerhed for de danske patientdata, der sendes ud af landet via Sundhedsplatformen.

Ifølge it-sikkerhedsekspert og jurist Allan Frank fra Datatilsynet har man nemlig ikke ført nogen kontrol med databehandlerkonstruktionen mellem Epic og Region Hovedstaden.

»Der er ikke nogen herfra, der har rejst til USA og ført kontrol med Epic. Det foregår på den måde, at vi kontrollerer, om den dataansvarlige (Region H, red.) har ført kontrol med sine databehandlere,« siger han til Version2 og tilføjer, at man på nuværende tidspunkt ikke har undersøgt, om regionen holder øje med sikkerheden hos Epic.

»Det er ikke sket konkret i forhold til en eventuel databehandleraftale mellem Region Hovedstaden og Epic endnu, da Sundhedsplatformen er et forholdsvis nyt produkt i drift. Men det er noget, man helt klart kan forvente vil blive en del af en fremtidig kontrol.«

Du kan se de to overstregede rapporter fra Epic her og her.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (30)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Anne-Marie Krogsbøll

"»Det er Region Hovedstadens vurdering, at en offentliggørelse af disse oplysninger vil indebære en nærliggende risiko for, at Epic påføres økonomisk skade af nogen betydning.«"

Hvis Epic ikke har levet op til god skik på dette punkt, kan de så virkeligt påberåbe sig denne fortrolighed? Kan vi få en jurist på banen her?

Og hvis de har levet op til god skik - hvorfor er de så bange for at offentliggøre disse rapporter? Det ville jo i givet fald være god reklame? Der er alle mulige advarselslamper her...

"»Der er ikke nogen herfra, der har rejst til USA og ført kontrol med Epic. Det foregår på den måde, at vi kontrollerer, om den dataansvarlige (Region H, red.) har ført kontrol med sine databehandlere,« siger han til Version2 og tilføjer, at man på nuværende tidspunkt ikke har undersøgt, om regionen holder øje med sikkerheden hos Epic."
Grrrrr....... har de så ført tilsyn med, om RH har fulgt op? Nej - åbenbart ikke. Og sikke dog en elendig undskyldning for det.
Konklusion (endnu engang): Det offentlige stjæler vores privatliv, og sikkerheden omkring vore data er elendig. Og planen for fremtiden? Mer af den slags....

Vi er til grin - vi udnyttes af pengemænd og dataherremænd...

  • 30
  • 2
Jan Gundtofte-Bruun

Nej sgu da!

"Men når det er de store der gør det, så skal vi ikke stille forhindringer i vejen." Jeg mener at Politiassistent Holm (fra Olsen Banden filmene) havde en ganske rammende kommentar på dette, men kan ikke lige grave den frem.

  • 16
  • 0
Jacob Andersen

De to overstregede rapporter fra Epic I linker til i artiklen, er aftaler mellem Region Sjælland og Epic.
Jeres artikel omhandler aftaler mellem Epic og Region H.
Betyder det at der er åbent dataflow mellem de to Regioner?
Eller at Epic ikke kan skelne mellem Region Sjælland og Region H?
Eller er det en fejl hos Version 2?
Eller noget helt fjerde?

  • 6
  • 0
Anne-Marie Krogsbøll

Jeg synes, at der begynder at være grobund for konspirationsteorier: At nogen fra politisk eller embedsmandsside holder hånden under/over Sundhedsplatformen, fordi den er "too big to fail" - og i så fald ser det jo ikke kønt ud, hvis Datatilsynet afslører uheldige forhold. Hvad jeg ville forvente, ville ske.

Så vidt jeg husker, har Version2 vel allerede for længe siden afsløret, at regionerne ikke opfylder deres tilsynspligt? Man skulle tro, at det var incitament nok for Datatilsynet til at kigge lidt nærmere på sagen. Men det haster åbenbart ikke, i Datatilsynets øjne.

  • 8
  • 1
Bjarne Nielsen

... men jeg hæfter mig ved flg. fra artiklen:

»Det er Region Hovedstadens vurdering, at en offentliggørelse af disse oplysninger vil indebære en nærliggende risiko for, at Epic påføres økonomisk skade af nogen betydning.«

Bør man ikke søge indsigt i, hvordan man er kommet frem til det? Er regionernes egenhændige beslutning, eller har de koordineret med EPIC? Er EPIC i det hele taget blevet spurgt om de føler grund til at føle sig gået for nær? Og har de to regioner koordineret deres holdning?

Kort sagt, hvad er grundlaget for vurderingen, og hvor i organisationerne kommer den fra?

  • 8
  • 0
Povl Hansen

"Det er Region Hovedstadens vurdering, at en offentliggørelse af disse oplysninger vil indebære en nærliggende risiko for, at Epic påføres økonomisk skade af nogen betydning.«"

Jeg gætter på af det betyder af Epic vil skulle betale de der 4% som der omtales hvis man bryder GDPR
fordi der ikke på nogen som helt måde er nogen som helst sikkerhed

  • 9
  • 0
Anne-Marie Krogsbøll

Tak for svar, Bjarne Nielsen.

Bør man ikke søge indsigt i, hvordan man er kommet frem til det? Er regionernes egenhændige beslutning, eller har de koordineret med EPIC? Er EPIC i det hele taget blevet spurgt om de føler grund til at føle sig gået for nær?


Der er en begrundelse i følgebrevet, der fulgte med aktindsigten - jeg vil indtil videre lade Version2 videregive den - det er deres artikelserie. Ellers skal jeg nok lægge det ud senere.

  • 6
  • 0
Christian Nobel

»Det er Region Hovedstadens vurdering, at en offentliggørelse af disse oplysninger vil indebære en nærliggende risiko for, at Epic påføres økonomisk skade af nogen betydning.«

Endvidere så er det da i den grad elastik i metermål, for så kan næsten alle aktindsigter mørklægges, da der jo næsten altid kan påstås at være risiko for at "nogen" påføres økonomisk skade af "nogen" betydning.

Dybest set betyder det jo at selv stærkt kriminelle forhold kan sløres på denne måde, da de kriminelle jo kan risikere at blive påført økonomisk skade af nogen betydning.

Imo meget bekymrende.

  • 12
  • 1
Anne-Marie Krogsbøll

Christian Nobel:

Endvidere så er det da i den grad elastik i metermål, for så kan næsten alle aktindsigter mørklægges, da der jo næsten altid kan påstås at være risiko for at "nogen" påføres økonomisk skade af "nogen" betydning.


Jeg kan fortælle, at det også i meget høj grad er tilfældet, når man søger aktindsigter i andre SP-relaterede sager. F. eks. mente man det samme, da jeg søgte aktindsigt i Gitte Fangels oplæg på UGM i Harry Potter World for et par år siden - der var dele, som var alt for hemmelige, selv om oplægget er holdt for en stor forsamling på UGM. Men vi andre må ikke få indsigt i det.

Det bekræfter min fornemmelse af, at Epics forretningsmodel er bygget op over en kult-model, hvilket i mine øjne i sig selv er demokratisk betændt, uanset hvordan SP så ender med at virke.

En frygt fra min side er f.eks. også, at vore beslutningstagere og superbrugere lokkes til at forelske sig i nye SP-aflæggere fra Epics "App orchard" (jo, den findes) - hvis produkter garanteret præsenteres på UGM (et gæt fra min side). Så får vi endnu mere ubrugeligt bras.

  • 4
  • 0
Frithiof Jensen

Ja, Det er en meget interessant formulering.

I mangel af offentlighed i forvaltningen, så må man jo desvärre spekulere. Det man kan spekulere på er at, man kunne forestille sig at "man" gjorde alle statens kontrakter "TTIP-Ready" i forventning om at TTIP vill blive en realitet.

Det vil sige at der måske findes en "ISDS (investor-state dispute settlement)"-klausul i kontrakten.

ISDS betyder at staten kan blive sagsögt* for udeblevne forventede profitter og imaginäre tab hvis nu staten finder på at lovgive eller på andre måder genere "det frie initiv", herunder håndhäve GDPR som jo ikke fandtes dengang. Under ISDS kan Epics formodentligt både blive knaldet under GDPR og derefter sagsöge staten for böden. Win-Win.

Hvis der findes sådan en ISDS-klausul forklarer det ganske naturligt den tilsyneladende store angst for på nogen måde at genere Epic.

*)
Sagsögt er måske et stort ord givet at proceduren består af "Arbitration" bestående af 3 advokater for hver side i en hemmelig höring som i sidste ende kan blokke skatteyderne for milliarder.

  • 16
  • 0
Anne-Marie Krogsbøll

Godt bud og vigtige oplysninger, Frithiof Jensen. Det kan jeg sagtens forestille mig er tilfældet. Og i så fald forstår man nervøsiteten for at træde Epic over tæerne.

Men i så fald er det bare endnu en grund til at være meget vred over forløbet - for den slags klausuler, der binder en på hænder og fødder, skal vi ikke indgå, og i så fald skal vi bare se at komme ud af den kontrakt hurtigst muligt. Det kan altså ikke nytte, at vi den ene gang efter den anden sælger vores demokratiske rettigheder til disse kæmpeforetagender. I mine øjne ligger det bekymrende tæt på en slags landsforræderi - noget som vore folkevalgte slet ikke burde have beføjelser til at gøre. Og da slet ikke vore embedsmænd.

  • 10
  • 0
Mogens Lysemose

Så bør Version2 søge aktindsigt i om der eksisterer sådan en paragraf i kontrakten som binder Regionerne H og Sjælland så hårdt at de ikke kan overholde dansk og europæisk lovgivning.

I givet fald: Har regionerne ingen kompetente jurister ansat til at gennemlæse og godkende kontrakter på milliarder?

  • 13
  • 0
Anne-Marie Krogsbøll

https://apporchard.epic.com/

Hvor mange medlemskaber har de to regioner her? Hvad koster det? Hvilke evt. konferencer har man deltaget i/planlægger at deltage i? Hvilke apps har man købt ud over selve SP? Hvilke problemer har man konkret løst på denne måde? Er det et af værktøjerne, som de kliniske byggere har til rådighed? Eller superbrugerne? Hvem har rådighed over dette i de to regioner?

  • 2
  • 0
Frithiof Jensen

Men i så fald er det bare endnu en grund til at være meget vred over forløbet - for den slags klausuler, der binder en på hænder og fødder, skal vi ikke indgå,

Ja, det at "systemet" måske fungerer dårligt burde jo väre en äressag at få rettet op på. Om ikke andet så fordi det er sådan nogle ting der driver både politikerleden og höjrebölgen.

Men, positivt, der var faktisk så meget aktivist-ballade over TTIP (og anden ballade med adskillige blue-on-blue skandaler internt i EU, for eksempel per-definition grønne Vattenfall der sagsøger Tyskland via the Energy Charter Treaty (ECT) over retten til at brände brunkul så SO2'en lander i Sverige som man forventer det), at EU indförte et "Investment Court Sytem" (ICS) for CETA i stedet for ISDS.

Demokratiet kan fungere hvis bare man sparker lidt til det länge nok!

Det var ret pludseligt at TTIP blev droppet og CETA ändret. Det kan jo godt väre at man ikke lige "fik memoet" her ude i periferien af Bruxelles.

Der findes en rimeligt läsbart arbejdspapir på ICS her hos EU: http://www.europarl.europa.eu/thinktank/nl/document.html?reference=EPRS_...

  • 5
  • 0
John Bömler

Sundhedsplatfoden bør opereres væk så hurtigt som muligt og de ansvarlige kan følge med. Det er et uorverskueligt makværk af usynlige beslutninger både økonomiske og beslutningshandlinger.
Desuden er programmet ikke intuitivt og ikke skrevet på dansk, men mest af alt ligner sproget en lineær oversættelse fra amerikansk til dansk.
De uforskammede kommentarer om lægers manglende IT-kompetancer, der er fremkommet undervejs, røber kun egen insufisiens og manglende indsigt i at læger arbejder på et rimeligt højt niveau med software og der er flere, som arbejder med hardware.
Hvis der er så megen usikkerhed i hele projektet, kan alle melde sig ind på:

https://www.borgerforslag.dk/se-og-stoet-forslag/?Id=FT-01508

og en kolosal tak til A-M for hendes frenetiske ihærdighed forat komme til bunds i sagen.

  • 7
  • 1
Anne-Marie Krogsbøll

Så har direktionen svaret på politikerspørgsmål vedr. revisionserklæringen. Bl.a. følgende fremgår af svaret:

"Det bemærkes endvidere, at en offentliggørelse ville udgøre et brud på den i kontrakten med Epic aftalte tavshedspligt, som potentielt ville kunne føre til, at Epic kunne rejse sag mod Region Hovedstaden med påstand om en større erstatningsforpligtelse."
https://www.regionh.dk/politik/spoergsmaal-fra-regionsraadet-til-adminis...

Denne klausul forhindrer vel bl.a. Epic-hospitaler i at advare andre hospitaler, der overvejer Epic, om, at datasikkerheden kan være problematisk? Det er helt uacceptabelt, hvis den slags kontraktlige bånd forhindrer samfundet i at råbe vagt i gevær ved kritisable forhold omkring datasikkerheden. I så fald kan vi jo ikke bruge regionens tilgang med at søge råd og vejledning fra andre Epic-hospitaler - for kontraktlige forhold forbyder jo sandsynligvis også på andre områder disse at videregive andet end positive vurderinger!

  • 4
  • 0
Anne-Marie Krogsbøll

Så er der kommet svar fra administrationen vedr. berettigelsen af deltagelse i UGM:
https://www.regionh.dk/politik/spoergsmaal-fra-regionsraadet-til-adminis...

Jeg må indrømme, at jeg synes, at det er en gang varm luft.

"Erfaringer fra andre hospitaler og it-organisationer, der har taget Epics system i brug, er vigtig viden at have med i forandringsprocessen."
Andre landes sundhedsvæsner er anderledes skruet sammen end det danske, så man må forvente andre problemer. Og den talrige deltagelse i UGM de seneste år ser jo ikke ligefrem ud til at have hjulpet synderligt.

"Udover sessioner om Sundhedsplatformens funktionalitet handler flere af konferencens sessioner også om kommunikation, forandringsledelse og governance. Dertil er der faglige sessioner med fokus på, hvordan bl.a. sygeplejersker og læger har opnået bedre kliniske resultater og/eller arbejdsgange med de enkelte moduler i Sundhedsplatformen."
Så dansk ledelse skal dikteres fra Epic USA? Er det ikke den slags, der burde have været en del af implementeringen af SP for længst - at lederne fra starten var klædt ordentligt på til processen? Skal det være en endeløs proces, hver gang der skal indføres en opdatering?
Og mht. bedre kliniske resultater m.m.: Er det ikke noget, som ville kunne sendes over internettet til Region Hovedstadens hospitaler, så flere kunne få glæde af det? Eller findes der ikke en manual/guide/lærebog til SP for de enkelte specialer, som man kunne/burde slå op i og for længst have været på kursus i? Er det ikke en falliterklæring, at man skal over Atlanten for at lære at bruge systemet - flere år efter, at det er taget i brug? Findes der en oversigt over, hvilke konkrete tiltag, som blev sat i værk i Region H efter sidste og forrige års UGM?

Mht. svar på spørgsmål 3:
Alt det nævnte forekommer mig at burde have været en del af implementeringen for længst - og det er foruroligende, at man har valgt et system, der åbenbart er så kompliceret og så lidt brugervenligt og intuitivt, at man er nødt til at sende mange folk en uge til USA - sandsynligvis på årlig basis. Og ud over en millionudgift i et i forvejen hårdt spændt sundhedsvæsen i Region Hovedstaden, så skal man jo huske, at det også koster en fuld arbejdsuge pr. medarbejder.

"At knytte kontakt til de andre europæiske hospitaler, der har indført EPIC, herunder Holland, England og Finland, som er grundlaget for fælles videre læring og udvikling."

Så hvor mange skal så rundt på besøg der? Hvor tit? Og hvorfor? Er de systemer ikke væsensforskellige fra det danske sundhedsvæsen? Skal vi tvinges til at tilnærme os disse sundhedsvæsner? Det - frygter jeg - bliver en konsekvens.

Hvis Epic er velegnet til danske forhold, hvorfor er det så nødvendigt at fare verden rundt for at lære at bruge det? Og kom der noget godt ud af de rejser, man foretog til andre Epic-hospitaler inden købet? Ikke i mine øjne. Man var jo alligevel - selv efter regionens egen mening - fuldstændigt uforberedte på, hvor vanskelig en proces det var. Hvorfor - hvis det hjælper at tage rundt og snakke med andre Epic-kult-medlemmer?

Og hvad med samarbejdet med de øvrige regioner? Ville det ikke være mere relevant at samarbejde med dem - hvis ikke man havde stirret sig blind på prestigeprojektet EPIC?

EPIC SP minder efter min opfattelse om en blanding af et pyramidespil (man bliver bundet til at investere mere og mere for at få det til at fungere) og en undskyldning for at sende rigtigt mange ledende medarbejder på talrige rejser verden rundt - uden (tror jeg) reelt sagligt indhold, som ikke kunne have været opnået på anden og mindre dyr vis med et andet system. Og da man angiveligt kontraktligt har bundet sig til stort set ikke at røbe noget om, hvordan SP i praksis fungerer - det er forretningshemmeligheder, fremgår det af svar vedr. sikkerhedsrevisionsrapporten - hvordan kan man så reelt få gode råd andre steder? Og i hvilken grad har man bundet sig til selv at bidrage med sjællandske hospitaler som honeypots, som skal hjælpe med at lokke nye kunder i Epic-fælden?

Jeg har forsøgt at søge aktindsigt i, hvor mange der skal af sted til "App Orhcard Conference" og XGM og øvrig rejseaktivitet knyttet til SP, men regionen synes, at jeg har opbrugt min kvote af aktindsigter, så det ville være rigtigt dejligt, hvis andre ville søge aktindsigt i det. Dette er en opfordring:
https://xgm.epic.com/
https://apporchard.epic.com/Conference

  • 3
  • 0
Bjarke Jepsen

@Anne-Marie Krogsbøll

Jeg har søgt aktindsigt og fået følgende svar:

Vedlagt er bilag 1.Som det fremgår af bilag 1, deltog Region Hovedstaden med 5 medarbejdere på dette års XGM. Det fremgår også af bilag 1, at Region Hovedstaden i 2015 deltog med 6 medarbejdere på XGM og i 2017 deltog regionen med 4 medarbej-dere. Region Hovedstaden har endnu ikke planlagt deltagelse på XGM i 2019.

Region Hovedstaden stiller ikke med deltagere til App Orhcard Conference og ligger derfor ikke inde med akter, som angiver antal deltagere fra Region Hovedstaden på konferencen.

Vedlagt er bilag 2. Region Hovedstaden besøgte i april i år University Hospital of California, Los Angeles ( UCLA). I alt var 15 medarbejdere fra regionen med på dette besøg.

Der er på nuværende tidspunkt ikke planlagt øvrige rejseaktiviteter i forbindelse med Epic/Sundhedsplatformen i 2018.

Hvis du vil have navnene på deltagerne må du hellere få dem per email.

  • 2
  • 0
Anne-Marie Krogsbøll

Hej Bjarke.

Super! Tak.

Jeg er ikke så vild med at lægge min email her - men lige nu er navnene heller ikke så vigtige. Det er i hvert fald bekræftet, at der udover UGM kommer en del anden rejseaktivitet til. Jeg går ud fra, at det er (meget) ledende medarbejdere? Bad du målrettet, eller bad du om oplysninger om alle rejser?

Det kunne være interessant at få formålene med besøgene at vide. Især UCLA - var det mon et studiebesøg? Havde det noget med EPIC at gøre? 15 medarbejdere, det synes jeg er meget. Oven i UGM....

I mine øjne er det en fejl at vælge et system, som kræver så omfattende rejseaktivitet. Og det gør mig utryg, at vore ledende politikere og embedsfolk sidder på XGM og planlægger vores sundhedsvæsens fremtid med udenlandske ledere. Hvorfor skal de blandes ind i det? Det burde være et dansk politisk anliggende, men vi andre kan garanteret slet ikke få oplyst, hvad de snakkede om - jeg bliver meget forbavset, hvis det ikke er mørklagt.

Og det ville være rart at høre, hvad der helt konkret er kommet ud af det.

  • 1
  • 0
Log ind eller Opret konto for at kommentere