Leverandøren bag Sundhedsplatformen, Epic, har efter otte måneder endnu ikke formået at levere en færdig revisionserklæring, der skal dokumentere, at danske sundhedsdata bevares og behandles forsvarligt.
Dokumentet skulle have været sendt til regionen i juni sidste år. I denne måned har Epic imidlertid meddelt regionen, at revisionserklæringen først vil være klar til maj.
Det fremgår af en aktindsigt, som Version2 har fået.
Her oplyser Region Hovedstaden, at man »løbende vurderer, hvilke kontraktuelle implikationer forsinkelsen skal have«.
To linjer
Som Version2 tidligere har beskrevet, sender Sundhedsplatformen rutinemæssigt ikke-anonymiseret sundhedsdata til it-medarbejdere i USA i forbindelse med vedligehold og fejlretning af it-systemet.
Revisionserklæringen er regionens garanti for, at Epic behandler sundhedsdataen sikkert. Men indtil videre har Epics forsøg på at leve op til dokumentationskravet været decideret mangelfulde.
I august sendte Epics Chief Security Officer Stirling Martin en erklæring til Sundhedsplatformen, der på to linjer meddelte, at Epic lever op til alle krav i kontrakten. Den erklæring fandt regionen for let.
»Sundhedsplatformen vurderede, at erklæringen ikke havde den fornødne detaljeringsgrad,« skrev Region Hovedstaden sidste år i en kommentar til Version2.
Region Hovedstaden understreger nu, at man »ikke på noget tidspunkt i forbindelse med driften af Sundhedsplatformen har haft mistanke om, at Epic ikke lever op til kravene i databehandleraftalen«.
Nye erklæringer mørkelagt
Ifølge kontrakten skulle Epic blandt andet dokumentere, at selskabet har haft besøg af uafhængige revisorer. I starten af oktober sendte regionen et regneark til Epic, som et »eksempel på, hvordan rapporteringen kunne gøres, eller hvordan vi kunne forestille os, at det kunne se ud«.
Siden har Epic i både oktober og november leveret nye udkast til revisionserklæringen, der er betydeligt længere end notatet fra august. Dem har Version2 også fået indsigt i – men begge er fuldstændig mørkelagt med henvisning til, at Epic i dokumentet beskriver »fortrolige forretningsforhold«.
Ligeledes er den feedback, som regionen har givet Epic på de nye udkast, blevet overstreget med en sort tusch.
... og meget, meget bekymrende. For hvorfor kan/vil Epic ikke levere det, de ifølge kontrakten er forpligtede til? De burde jo nu faktisk være i gang med at formulere den nye årsrapport? Og hvorfor kan regionen ikke sætte sig igennem med kontraktens krav? Er de i lommen på Epic på en eller anden måde?
Eller er det også fra regionens side et forsøg på at "stalle" og udskyde en rapport, som man måske forventer vil skabe ramaskrig?
"ikke på noget tidspunkt i forbindelse med driften af Sundhedsplatformen har haft mistanke om, at Epic ikke lever op til kravene i databehandleraftalen."
I mine øjne giver selve dette forløb i høj grad mistanke om, at den er grueligt galt med datasikkerheden.
Overstregninger? Hvad er det nu, vi plejer at få at vide? Hvis du ikke har noget at skjule....?
Der er da ikke et tilfælde at det er den 18. maj.
Dette er på dagen hvor GDPR's hammer kan falde.
Hvis vi oversætter handlingerne til letforståeligt så betyder de:
"Vi tager alle de data vi kan - lige indtil vi ikke må længere".
Dann haben wir anderen metoden...
K
Priceless !
K
Jubeloptimisme og ledelse der kører 1000 Km/t og en organisation der kører med 50 Km/t
Man fristes til at se på letbanen i Århus hvor toget først måtte køre når alle sikkerhedsgodkendelser var i orden og så Sundhedsplatformen hvor det åbenbart er helt i orden at sikkerheden ikke er godkendt, ikke engang af den myndighed der anvender systemet.
SP toget burde ikke have haft lov til at køre før det var blevet sikkerhedsgodkendt. Det skader igen den tillid som borgerne/ansatte har til at anvende (sundheds-)data til samfundsnyttige formål.