Sundhedsplatformen sender ikke-anonymiseret sundhedsdata til USA

Synes artiklen er udtryk for SP bashing fra Version2's side

Twan Manders.

Man kunne ønske sig at de sundhedsdata forskrækkede kommentatorer på Version2 engang imellem stillede sig spørgsmålet hvordan patientsikkerheden ville være hvis der ikke var adgang til patienternes data. Både set fra den enkelte patient samt fra et samfundsmæssigt synspunkt. Heldigvis har vi et stort set enigt folketing, med undtagelse fra yderfløjspartierne, der godt kan se de mange muligheder der er og i stadig højere grad bidrager til at øge indsigt og forbedre den enkeltes muligheder for forebyggelse, tidlige diagnosticering, bedre behandling og større patientsikkerhed.

Der er ingen af de gode formål, du nævner, som kræver, at man tramper på privatliv, menneskerettigheder og datasikkerheden. Det kan være, at der ville være forskning, man så ikke kunne gennemføre - men måske ville der komme anden, bedre forskning i stedet?

Hvad med den livsvigtige viden, vi allerede har, men som medicinalfirmaerne ikke kan tjene på - tager man den alvorligt? https://www.dr.dk/nyheder/indland/3000-doer-af-infektioner-paa-danske-sygehuse-hvert-aar

Kan du slet ikke se hykleriet i argumenterne for, at det er livsvigtigt, at myndigheder og forskere skal have fuld ejendomsret over andre menneskers privatsfære - når man ikke engang gider tage viden som denne alvorligt, men tvært imod hele tiden skærer end på rengøring og pleje?

Dette fokus på ukritisk digitalisering, registrering, overvågning (for det er det jo) og grænseløs forskning, hvis blot man kan skaffe sponsorer til det, stjæler ressourcerne fra andre, mindst lige så livsvigtige områder.

Forskere elsker at forske, og kan få ubegrænsede gode ideer til, hvad de skal forskes i - nogen gode, nogen dårlige. Men at forskere synes, at det er sjovt at forske, er ikke ensbetydende med, at de skal have ubegrænsede rettigheder til andre menneskers rettigheder. At du ikke selv kan se, at din tankegang er totalitær, er deprimerende. Du er velkommen til at forære dit eget privatliv væk, men du skal f'nme ikke forære mit væk til medicinalfirmaer o.l. skidt. I mine øjne begår du og dine meningsfæller - uanset om de sidder på magten i folketinget - direkte overgreb på andre mennesker. Jeg vil foreslå dig at se filmen "De andres liv".

... at de sundhedsdata forskrækkede kommentatorer på Version2 ... Heldigvis har vi et stort set enigt folketing, med undtagelse fra yderfløjspartierne

Twan, jeg må sige at du der giver udtryk for en meget bedrevidende, ganske nedladende og elitær holdning, som ikke hjælper på den almindelig tillid, som alle andre ellers snakker om som noget centralt og værdifuldt.

For en noget mere nuanceret tilgang, så kan man med fordel læse flg. indlæg fra Norge og deres datatilsyn: https://www.personvernbloggen.no/2018/01/10/hva-er-egentlig-problemet-med-varig-lagring-av-blod-fra-alle-nyfodte-barn-i-norge/

Det handler ganske vist om hælprøver, men det fanger meget fint, at det ikke er sort/hvidt, som nogle debatører (host!) yder at stille det op (og meget gerne skyde mig og andre det i skoene) - det er ikke sådan, at bare fordi vi ikke straks siger ja til alt, at så er vi imod alt.

Det er et kontinuum lige fra behandling over kvalitetssikring af behandling og over til mere og mere abstrakt og generel forskning.

Indlægget taler for, at det er nødvendigt med en folkelig debat, netop af hensynet til den almindelige tillid og accept. Hvis man ikke er villig til at tage debatten, så vil i stedet man puste til fremmedgørelsen.

Heldigvis har vi et stort set enigt folketing, med undtagelse fra yderfløjspartierne, der godt kan se de mange muligheder der er og i stadig højere grad bidrager til at øge indsigt og forbedre den enkeltes muligheder for forebyggelse, tidlige diagnosticering, bedre behandling og større patientsikkerhed.

Du har vist drukket lidt for meget af Politikernes coolaid. For at sige det lige ud så er politikerne totalt inkompetente når det kommer til IT. Det samme gælder langt de fleste ministerier. Hvis du læser mellem linjerne i stort set alt, hvad der kommer ud fra ministerierne, så er det luftkasteller, hvis formål er at øge effektiviteten, spare penge, downsize, do more with less, BUZZWORD BINGO! Tror du virkelig at de luftkasteller, som man drømmer op i ministerierne har hold i virkeligheden ? Se f.eks. historien om Jens, fra den nye digitale strategi:https://www.version2.dk/artikel/sundhedsministeriet-klar-med-ny-digital-strategi-mere-deling-apps-fremtiden-1084038

Det er jo totalt til grin. De er som taget ud af salgspræsentationerne for nogle af de leverandører, der laver netop telemedicin m.m. Tror du virkelig at hovedparten af 70+ årig KOL patienter, kan finde ud af at bruge en computer og en mobil telefon ? Og den integration der tales om i Jens'es historie eksisterer jo ikke i dag, og der er sku' heller ikke sat midler af til at fixe de de næste mange år.

Problemet her er, som i så mange andre ting i dagens samfund, at man ikke fra politisk side lader fagligheden fixe det. Man har en eller anden politisk agenda, som intet hold har i virkeligheden, og så skal det bare virke. Og politikerne og ministerierne har ikke en fløjtende fis check på hvad der sker ude i virkeligheden. Når en eller anden minister eller en kongelig besøger en hospitals afdeling, så bliver der lige pludselig gjort rent, malet og patienter flyttet væk så der ikke er overbelægning.

Integration og IT i sundhedssektoren i Danmark skal sku ikke formes beskrives m.m. af politikerne og ministerierne. Det har de simpelt hen ikke en skid forstand på. Det skal komme fra fagligheden. Både den sundhedsfaglige og IT-faglige.

// Jesper PS: Og ja jeg har selv familie på 70+ med KOL.

@Twan Manders Du har desværre ret i, at man ikke tager datasikkerhed alvorligt i det offentlige eller sku' heller ikke er gode nok til det i det private erhvervsliv.

Men viden er magt. Og derfor er det vigtigt at personfølsomme data, som f.eks. sundhedsdata bliver beskyttet og kun delt under sikre og 'need to know' forhold. Og hvis du har lyst til, at dele alt om dig selv og din familie med 'internettet' så skal du være velkommen. Men pls. lad være med at forlange at vi andre gør det samme.

Og jo, som Anne-Marie Krogsbøll har dokumenteret så har EPIC ikke de nødvendige revisions påtegnelser i orden for at opfylde den databehandler de har tegnet.

Min pointe var, at man kunne have lavet en anden løsning, arkitektur om du vil, hvor man ikke havde brugt Sherlock direkte, men havde ladet incidents blive oprettet i Regionens eget incident management system. (jeg formoder så at de har et).

Og det kan godt være, at hele det her privatlivs ting, virker lidt sådan ja.. gammeldags. Men vi er altså i en situation, hvor den politiske slagmark bla. er i 'cyberspace', og det gælder både nationalt, internationalt og mellem stormagterne. Og derfor er det vigtigt, at vi beskytter vores borgere.

Og lige nu.. ja.. der er vi rent IT-mæssigt ude i Mogens Glistrups berømte telefonsvarer.

Og der er igen der har sagt, at support personale ikke skal kunne få system adgange.. meeen.. skal vi lige gøre det ordentligt ?

// Jesper

Man kunne ønske sig at de sundhedsdata forskrækkede kommentatorer på Version2 engang imellem stillede sig spørgsmålet hvordan patientsikkerheden ville være hvis der ikke var adgang til patienternes data. Både set fra den enkelte patient samt fra et samfundsmæssigt synspunkt. Heldigvis har vi et stort set enigt folketing, med undtagelse fra yderfløjspartierne, der godt kan se de mange muligheder der er og i stadig højere grad bidrager til at øge indsigt og forbedre den enkeltes muligheder for forebyggelse, tidlige diagnosticering, bedre behandling og større patientsikkerhed.

For mig at se rejser artiklen spørgsmålet, om datasikkerheden er tænkt ordentligt igennem i SP, og om privatlivet er blevet taget tilstrækkeligt alvorligt. At dømme fra nogen af kommentarerne fra fagfolk, så er det nok ikke tilfældet.

Som om SP er det eneste system i DK der har data placeret andre steder end i DK. I en IT globaliseret verden er mange databaser placeret i udlandet eller i skyen og det er fuldstændig ligegyldig hvor data befinder sig rent fysisk. Det er hverken ulovligt eller uhensigtsmæssigt at EPIC har data til at finde fejl i systemet. Det ville snarere være en trussel mod patientsikkerheden hvis en leverandør af et IT system ikke må/kan gå ind og fejlsøge.

Der er vi nogen, der gerne vil have lov at protestere mod den tendens.

"Det er ikke ulovligt" ... "alle andre gør det også" ... det er da virkeligt dårlige undskyldninger.

Det er vist almindelig enighed om, at det kan være nødvendigt med systemadgang, men at det absolut bør være undtagelsen. Og kun under grundigt tilsyn.

Intet af det, som jeg har hørt giver mig grund til at tro, at det er tilfældet. Adgangen lader til at være unødigt bred, og designet helt forkert. Og det er tankevækkende og dybt bekymrende, at man end ikke kan få indsigt i de overordnede rapporter.

Hvis man gør som man skal, så har man ikke noget at skjule...

Synes artiklen er udtryk for SP bashing fra Version2's side. Der er intet ulovligt i den praksis som SP har med udveksling af data til systemvedligeholdelse mv. men det insinueres kraftigt af artiklen at der er noget som ikke er i orden.

Som om SP er det eneste system i DK der har data placeret andre steder end i DK. I en IT globaliseret verden er mange databaser placeret i udlandet eller i skyen og det er fuldstændig ligegyldig hvor data befinder sig rent fysisk. Det er hverken ulovligt eller uhensigtsmæssigt at EPIC har data til at finde fejl i systemet. Det ville snarere være en trussel mod patientsikkerheden hvis en leverandør af et IT system ikke må/kan gå ind og fejlsøge.

IMHO er det en klar design fejl, hvis man har valgt at bruge leverandørens incident management system hos leverandøren. Man vil alt andet end lige miste kontrollen over hvem der adgang til de sundhedsdata, man ikke kan undgå kommer ind i sådan et system.

Mht. fremmede magter og denne type følsomme systemer, så er Norge et skridt foran os: https://www.nrk.no/ostlandssendingen/_-ingen-grunn-til-a-be-folk-om-a-slappe-av-1.13867292

Jeg fatter ikke, hvorfor vi skal blive ved med at gå ned ad den vej med yderligere ukritisk digitalisering, som sundhedsministeren promoverer i dag. Hvorfor blive ved med at gøre os mere og mere sårbare? Hvorfor er der ingen beslutningstagere (med reel magt), der tænker igennem, hvad denne enorme sårbarhed gør ved os og vores samfund?

Har der ikke netop i Danmark været en sag og en domfældelse, hvor en dansker, lokalt, benyttede sin adgang til e.g. kreditkortoplysninger (anvendelse) til ubehagelige "afsløringer".</p>
<p>Jeg ser INGEN grund til at tro, at der i udlandet skulle være flere dataindbrud end i Danmark af her ansatte medarbejdere.

Hvordan tror du f.eks. udstationerede danske soldater ville reagere, hvis de havde fået tilsendt en Sygejournal på f.eks. en datter eller en søn sammen med et trusselsbrev ?

Der er/var altså en vis fornuft bag ideen med 'krigsreglen'. Det ser desværre bare ud som om, at man har glemt det fra politisk side.

// Jesper

2Anne-Marie Krogsbøll

I så fald er min konklusion, at man bør lade disse meget følsomme data blive i Danmark.

Og det er svært når almindelige 'brugere', i dette tilfælde sygeplejesker, læger m.m. skal bruge et sådan system uden, at komme til at indtaste, vedhæfte skærmdumps etc. etc. der indeholder persondata. Det er næsten umuligt.

IMHO er det en klar design fejl, hvis man har valgt at bruge leverandørens incident management system hos leverandøren. Man vil alt andet end lige miste kontrollen over hvem der adgang til de sundhedsdata, man ikke kan undgå kommer ind i sådan et system.

// Jesper // Jesper

Det grimme ord er her "protektionisme", og det kan ingen, slet ikke et lille land, være interesseret i !

Tak for svar, Jan Heisterberg. Det må jo så i sidste ende være et spørgsmål om tro, om man tror, at det vil være lettere at få styr på data herhjemme end i andre lande. Den norske sundhedsdataskandale tyder i hvert fald på, at det kan være endog særdeles svært, når først de er sluppet ud til firmaer i udlandet: https://www.nrk.no/norge/it-arbeidere-i-israel-har-hatt-tilgang-til-pasientinfo-i-helse-sor-ost-1.13745814

Du har fuldstændigt ret i, at elendigheden også er omfattende herhjemme. Men for mig at se er det almindlig sund fornuft at gætte på, at elendigheden mangedobles, hvis man oven i købet videregiver ansvaret til en masse firmaer i udlandet, hvor det er vanskeligt at følge med. Hvis du har ret i, at systemerne kan designes, så alt mere eller mindre kan overvåges herhjemmefra, så er de da bestemt meget dumt, at man ikke har gjort det. Men det tyder da så bestemt ikke på, at man i stedet vil være i stand til at kontrollere data i udlandet. Det tyder på, at man mere eller mindre har sluppet grebet, og ikke prioriterer privatlivet.

Men der er det så min ret som borger at insistere på retten til selv at bestemme, hvad der skal ske med mit privatliv. Og jeg ville altså trods alt føle mig mere tryg, hvis data blev herhjemme - for der kan jeg da i det mindste selv komme efter myndighederne, hvis de ikke er deres ansvar voksent. Jeg tør slet ikke tænke på, hvordan det ville være at skulle forsøge det i USA eller i Bangladesh.

Mit svar er, at det kan man godt tro, men der er ikke belæg for at sige det. Dvs. det gælder sandsynligvis ikke.

Ideelt ville jeg mene, at ethvert "kritisk" system bør have tilstrækkelige audit-egenskaber indbygget, så det kan overvåges i nødvendigt omfang (dvs. real-time, dagligt, månedsligt - menneskeligt og/eller automatisk). De kendte eksempler på svigt skyldes vist alle åbenlyse administrative svigt eller slendrian; kun få sker ved reelt indbrud.

P.S.: Og de danske træer skal ikke vokse ubeskåret ind i himlen: for mindre end en uge siden opdagede jeg tilfældigt, at et registreringssystem (med patientdata) hos en praktiserende sundhedsklinik øjensynligt gemte PIN-koder (adgangskode) ukrypteret, eller ihvertfald med to-vejs kryptering (det gamle kunne sendes tilbage). Det er, siger alle it-professionelle, en absolut no-no med stor risiko. Nu lover firmaet så at rette det i næste version (hvornår?), men hvordan kan det overhovedet ske - 2018 ?

Jan Heisterberg:

Det er vel også en form for protektionisme, hvis man prioriterer private danske firmaers interesser i udlandet over borgernes ret til privatliv. Hvilket lige præcist er min fornemmelse, at man gør. Set fra erhvervslivets side, er det måske et forståeligt ønske - set fra borgerside er det helt urimeligt, da der altså er tale om privatliv, som man fratages retten til at beskytte.

Og du svarede vist ikke lige på mit spørgsmål om, om ikke det er mere vanskeligt at sikre data, hvis de spredes ud over hele verden? :-)

hvad jeg skrev om hysteri og realitetssans.

Jeg er en smule pikeret over dansk "andegårdsmentalitet", som viser sig når kun danske firmaer er gode nok til anlægsopgaver, kun data indenfor kongeriget er sikkert nok, kun ...... Implikationen er, at danske firmaer ikke kan arbejde i udlandet, ikke kan få kontrakter fra udenlandske firmaer, eller at vi må nøjes med danske it-udbydere (der er vist et par gysere på lystavlen for tiden). Det grimme ord er her "protektionisme", og det kan ingen, slet ikke et lille land, være interesseret i !

Det er muligvis rimeligt, at der ikke gives aktindsigt i diverse "sikkerhedsrapporter" - omend det let virker suspekt. Men der er vel fortilfælde for, at relevante myndigheder, i sidste ende (Datatilsynet, Rigsrevision eller Ombudsmand), gennemtvinger en audit, så vi alle kan være lidt mere trygge.

Måske skal "vi" finde en mere veldreven, åben, region og få dem til at vise hvor "gode" der er ved at de fremlægger deres materiale. Det er måske mindre "betændt" ?

Det virker som om problemet mere ligger i designet af systemet.

Hvis man i datamodellen benytter sig af pseudonymisering er det lettere at adskille personhenførbare oplysninger og derved kan man lettere anonymisere data.

Fra Datatilsynet: "Ved pseudonymisering forstås i denne sammenhæng, at enkelte direkte identificerende parametre erstattes med pseudonymer (”koder”), som vil være unikke identifikatorer. F.eks. kan personnummer erstattes af en kode, som kan genfindes på en separat liste, hvor man kan se koblingen mellem personnummeret og koden. Pseudonymisering gør det modsat anonymiserede oplysninger muligt stadig at kunne koble oplysningerne med andre oplysninger om personen."

Tak for forklaring, Ditlev Petersen.

Og "adgang til produktion" kunne jo være et skærmprint.

Det kan jo også være, at de ikke har et solidt "filter" af superbrugere til at klare brugerfejl og i øvrigt dokumentere fejlene.
Og så skal EPIC jo selv klare det.

Jeg mener at huske, at der faktisk var diskussion om dette i forbindelse med valget af Epic, men jeg husker ikke detaljerne i denne debat. Kan nok hjælpe med at huske det? Blev vi lovet, at data ville blive i Danmark?

Jeg ved i hvert fald, at Sundhedsplatformens hjemmeside med spørgsmål og svar omhyggeligt formulerede det som om, overførsel til udlandet kun sker i sjældne tilfælde. Det fremgik på ingen måde, at det sker mange gange dagligt, så jeg mener, at det var groft vildledende overfor borgerne. Og nu er afsnittet om overførsel af data til udlandet simpelthen fjernet. Så lover man jo heller ikke for meget.

Eller læs de audit-rapporter som siges at findes .....

Danmark er bestemt ikke noget dydsmønster på det datasikkerhedsområdet - men er du uenig i, at det er langt sværere at kontrollere, om der er styr på sikkerheden, hvis data fordeles over mange hundrede databehandlere i mange forskellige lande, end det ville være at kontrollere sikkerheden, hvis data blev i Danmark?

Vi kan i nogen grad selv beslutte vor lokale love og regler på det punkt - mens vi absolut intet har at skulle have sagt i USA.

Men 1093 gange på 9 måneder og 122 gange i løbet af en enkelt uge - lyder det ikke af ret meget?</p>
<p>

At forsøge at genskabe en fejl betragtes som tidskrævende, og hvis man allerede er presset tidsmæssigt, så er det et nemt gærde at springe over.

Sig mig, prøver Version2 at gøre "data" til noget vi nu taler om i ental? Det skurrer i øjnene, og fungerer tydeligvis ikke.

Data er flertal af datum, og bør som sådan omtales i flertal.

Der hersker ingen tvivl om, at patientdata skal beskyttes i videst muligt omfang.

Men når det er sagt, så udstråler artikel og kommentarerne holdninger som især finder "eksport" af data over landegrænsen som det store problem. DET forstår jeg ikke ?

Har der ikke netop i Danmark været en sag og en domfældelse, hvor en dansker, lokalt, benyttede sin adgang til e.g. kreditkortoplysninger (anvendelse) til ubehagelige "afsløringer".

Jeg ser INGEN grund til at tro, at der i udlandet skulle være flere dataindbrud end i Danmark af her ansatte medarbejdere.

Mon ikke FOKUS snarere burde være på boniteten af de lognings- og kontrolmekanismer som er på plads (eller påstås at være på plads) ? Vi læser jo lejlighedsvis om sage i politiet, hvor der sker uberettigede datasøgninger. Ikke mange, men nogen. Det er da usandsynligt at det samme ikke sker i patientdatabaserne - men hvor er sagerne ? Eller de fanges måske ikke ?

Meget simpelt: lad en "agent" lave 10 forbudte søgninger i patientdata og se hvornår der ringer en alarmklokke ? Eller læs de audit-rapporter som siges at findes .....

Inden vi kaster med fler sten, så skulle vi måske lige ......

Man kan ofte, men ikke altid, gøre det.

Og det er desværre, som at sætte ræven til at vogte høns: det er meget nemmere for både brugere og udviklere, hvis man "bare" går direkte i produktion. At forsøge at genskabe en fejl betragtes som tidskrævende, og hvis man allerede er presset tidsmæssigt, så er det et nemt gærde at springe over.

Tak for uddybning, Ditlev Petersen. Men 1093 gange på 9 måneder og 122 gange i løbet af en enkelt uge - lyder det ikke af ret meget?

Papirudskrifter m.v. bliver destrueret bagefter.

Jeg glæder mig til - forhåbentligt - at høre fra alle fagfolkene her, om det virkeligt er nødvendigt nogen gange at sende data ikke-anonymiserede? Kan man ikke anvende konstruerede data i stedet?

Papirudskrifter m.v. bliver destrueret bagefter.

Tak for svar, Jesper Frimann.

Man slipper ikke for at være nødt til at give konsulenter, eksterne leverandører m.m. adgang, hvor de vil kunne tilgå persondata. Det er og bliver næsten umuligt at undgå.

Jeg glæder mig til - forhåbentligt - at høre fra alle fagfolkene her, om det virkeligt er nødvendigt nogen gange at sende data ikke-anonymiserede? Kan man ikke anvende konstruerede data i stedet?

Men man kan gøre mange arkitektoniske og praktiske ting for at minimere problemet, og øge muligheden for at detektere misbrug.

Det er sådan set bare 'god IT-faglighed', men det er desværre noget der er under pres.

// Jesper

Jeg glæder mig til - forhåbentligt - at høre fra alle fagfolkene her, om det virkeligt er nødvendigt nogen gange at sende data ikke-anonymiserede? Kan man ikke anvende konstruerede data i stedet?

"Alle medarbejdere har desuden fået instrukser i, hvordan data kan anonymiseres, inden de gives videre til Epic."Hvilke medarbejdere? Er det en lille gruppe betroede IT-medarbejdere i den danske supportafdeling, der står for dette, eller er det den almindelige bruger, som selv sender fejlmeddelelser til USA - og selv har ansvaret for at anonymisere? I så fald synes jeg, det lyder som helt utilstrækkelig kontrol med vore data.

"»De kan fx få samme adgang, som en læge har, hvis udvikleren fx skal rette i en læges workflow.«"Får de adgang i hvert enkelt tilfælde - eller har de adgang hele tiden? I givet fald - hvor mange medarbejdere i USA har simpelthen uhindret adgang til den danske sundhedsplatform?

.... i denne sag.

"Region H oplyser, at regionerne fører tilsyn med Epics overholdelse af den indgåede databehandler-aftale i henhold til gældende lovgivning. Derudover indeholder kontrakten en bestemmelse om at Epic én gang om året skal udlevere en revisionsrapport om data- og system- og informationssikkerhed."

Men Version2 har jo for nylig afdækket, at det ikke går så godt med at få en tilfredsstillende udgave af revisionsrapporten. Det må der jo være en grund til - ellers burde det vel være en smal sag for et verdensomspændende firma at få udarbejdet en pletfri - eller i det mindste rimeligt ok - rapport. At det ikke sker, er for mig at se en advarselslampe om, at vi ikke skal være for trygge ved, hvad der foregår hos Epic i USA.

Desværre har Region Hovedstaden fuldstændigt mørkelagt det udkast til en sikkerhedsrapport fra Epic, som de for nyligt kasserede. Jeg kan godt acceptere, at der vil være dele af en sådan rapport, som må mørklægges - men at der ikke skulle være noget som helst - ikke en gang en forside eller en indholdsfortegnelse - der kan frigives, det finder jeg underligt og foruroligende.