Ulovlig datahåndtering hos Statens Serum Institut: Holder ikke øje med databehandlere

Illustration: Yastremska, BigStock
En aktindsigt viser, at Statens Serum Institut ikke har ført et eneste tilsyn med deres databehandlere. Datatilsynet understreger, at det er et krav i loven.

Statens Serum Institut (SSI) overfører danske sundhedsdata til databehandlere, men fører ingen kontrol med, at der faktisk bliver passet på dataen - og det er i strid med Persondataloven, som kræver, at der føres tilsyn.

Det viser en aktindsigt hos SSI. Version2 bad om en liste over instituttets tilsyn med databehandlere, som en læser har sendt til redaktionen. Der står sort på hvidt, at:

»Statens Serum Institut har ikke foretaget nogle audits eller modtaget nogle indberetninger i forbindelse med databehandleraftalerne. Der forefindes derfor ej heller en aktliste, som du kan få indsigt i.«

Datatilsynet er ikke gået aktivt ind i sagen endnu, men har forholdt sig til aktindsigten og mener ikke, at SSI lever op til reglerne.

»Det er et krav i persondataloven. Man skal uanset hvad påse, at databehandleren overholder reglerne. Hvis de ikke gør det, så er det selvfølgelig et problem,« siger Katrine Valbjørn Trebbien, specialkonsulent hos Datatilsynet.

Loven giver ellers et ret stort råderum for, hvad man som dataansvarlig skal gøre for at sikre, at databehandleren lever op til kravene.

»Den dataansvarlige skal dog aktivt sikre, at de krævede sikkerhedsforanstaltninger overholdes hos databehandlerne, og de kan f.eks. vælge at indhente en årlig revisionserklæring fra en uafhængig tredjepart, men de kan også selv føre kontrol,« siger Katrine Valbjørn Trebbien.

Fører kun tilsyn efter behov

Statens Serum Institut erkender, at de ikke har ført tilstrækkeligt tilsyn:

»SSI har hidtil haft en procedure om at føre tilsyn, når der har været et behov for det, fx hvis vi skulle erfare, at en databehandler har overtrådt de instruktionsbeføjelser, vi har tildelt dem,« skriver Ole Jensen, vicedirektør hos SSI, i en mail til Version2.

Han forklarer, at den praksis kun har ført til et enkelt tilsyn med en databehandler, men det var indenfor et område, der senere er blevet flyttet til Sundhedsdatastyrelsen - og derfor er listen af tilsyn altså nede på nul.

»SSI har bemærket den stigende interesse fra tilsynsmyndigheden – Datatilsynet – i at vi selv fører et systematisk aktiv tilsyn,« skriver Ole Jensen, og han tilføjer i den sammenhæng, at:

»Dette har SSI nu taget til efterretning og er ved at udarbejde en procedure for disse tilsyn.«

Selvom SSI altså er bevidste om nødvendigheden af tilsyn af databehandlere, er der stadig ikke blevet ført et eneste, og det er endnu ikke klart, hverken hvornår eller hvordan SSI vil sørge for, at danske borgeres data bliver behandlet efter lovens rammer.

»Man har simpelthen sluppet bremsen«

Det kan være svært at vide, om der reelt er sket noget med danske patientdata, men Patientdataforeningen ser sagen som en brik i et større puslespil, der samlet giver et skræmmende billede:

»At bryde lovgivningen for god databehandlerskik - og herunder inspektionen af databehandlere - betyder ikke nødvendigvis noget konkret, men det viser lidt et billede af, hvordan man behandler sundhedsdata i Danmark. Man har simpelthen sluppet bremsen,« siger Thomas Birk Kristiansen, formand for Patientdataforeningen.

Han mener, at danske borgere har alt for lidt kontrol over, hvor og hvordan deres persondata bliver delt - især hvis der ikke bliver ført kontrol med, at der bliver passet på dem.

Det gør kun situationen værre, når der endda er lovgivning på området, som offentlige institutioner ikke lever op til.

»Reglerne for god databehandlerskik og lovgivningen er stablet på benene for at sikre data. Dels for at kunne dele data lovligt, men selvfølgelig også for at forhindre, at nogen får adgang til det ulovligt,« siger Thomas Birk Kristiansen.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (24)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Anne-Marie Krogsbøll

Vigtigt område at få fokus på, så tak for artiklen. Det er jo langt ude, at man overhovedet ikke fører tilsyn med de databehandlere, som har ansvaret for meget store dele af de meget følsomme danske sundhedsdata.

Statens Seruminstitut står jo f.eks. som ansvarlig for den særdeles følsomme Sexus-undersøgelse, hvor man under løfte om anonymitet beder et meget stort antal danskere besvare spørgeskemaundersøgelse om deres seksualliv ( man må så håbe, at man i denne sammenhæng faktisk mener det, når man lover deltagerne anonymitet - man kan jo blive bekymret på det punkt, når man tænker på gårsdagens historie om trivselsundersøgelserne i skolen).

"Han forklarer, at den praksis kun har ført til et enkelt tilsyn med en databehandler, men det var indenfor et område, der senere er blevet flyttet til Sundhedsdatastyrelsen - og derfor er listen af tilsyn altså nede på nul."
Foreligger der noget om, hvad der i denne ene situation foranledigede et "tilsyn", og hvad det så faktisk bestod af?

  • 14
  • 0
Martin Jensen

Disse eksempler, og de andre der har været oppe, skal bringes frem når nogen argumenterer for, at et DNA-register skal oprettes.

Der er en klar overbevisning om at man er regulære verdensmestre i at passe på ting og kunne have hemmeligheder - den overbevisning er stor. Den eneste ting der synes at være en større overbevisning, ja nærmest et faktum, er at det på ingen måde er den respektive myndighed/afdeling der skal lave denne beskyttelse, men "nogen andre", for myndighed/afdelingen skal sørme da ikke selv gøre noget.

  • 10
  • 0
Christian Schmidt

man må så håbe, at man i denne sammenhæng faktisk mener det, når man lover deltagerne anonymitet


Projekt Sexus er ikke mere anonymt, end at man kan koble den enkelte besvarelse med personens CPR-nummer. Derfor afslog jeg at deltage, da jeg modtog en invitation.

Det samme gælder den kommende DNA-database, selvom Sundhedsministeriets informationsmateriale giver modtryk af det modsatte (se myte 2, hvor det fejlagtigt påstås, oplysningerne i databasen ikke kan kobles til CPR-nummer).

  • 10
  • 0
Anne-Marie Krogsbøll

"SSI har bemærket den stigende interesse fra tilsynsmyndigheden – Datatilsynet – i at vi selv fører et systematisk aktiv tilsyn,« skriver Ole Jensen, og han tilføjer i den sammenhæng, at:
»Dette har SSI nu taget til efterretning og er ved at udarbejde en procedure for disse tilsyn.« "

Sjovt!

Kan nogen hjælpe mig med at oversætte, hvad det egentligt er, SSI siger her? Min udlægning: "Vi aner ikke, hvilken lov, vi arbejder under. Eller måske ved vi det godt - men vi har jo ikke fået en PERSONLIG henvendelse fra Datatilsynet eller Folketinget om, at vi skal overholde loven. Derfor har vi opfattet det som indirekte besked om, at det behøver vi ikke at gøre (altså overholde loven). Men nu siger Datatilsynet pludseligt, at det skal vi - så må vi da til at overveje, om det er noget, vi skal... Nu må vi se....."

Væv selv videre på denne undersættelse - eller kom med et bedre bud....

  • 13
  • 0
Finn Christensen

Væv selv videre på denne undersættelse - eller kom med et bedre bud....

Den korte: "Hmmm.. det trækker på vores ressourcer, og det har jo ikke nogen konsekvenser at fortsætte uændret som nu - vi ser tiden an."

"Den korte" dækker en helt generel holdning og manglende sikkerhedskultur, samt er i øvrigt generel anvendelig.

Styrelser og institutioner skal afsætte medarbejder- samt øvrige ressourcer, og det koster. Samt ikke mindst bliver man ikke populær hos databehandler (der laver det vi ikke selv magter/gider ;).

  • 3
  • 0
ove kjær kristensen

Vi kan ikke få slettet vore Patientdata i DAMD systemet i Regionerne og Rigsarkivet bestemmer over dem når de engang fremsendes fra Regionerne. Det betyder at systemerne ikke vil respektere de indgåede aftaler der er mellem patient og læge at oplysningerne ikke må videregives til 3. part uden patientens informeret samtykke.
AMD-databasenTak for din henvendelse.Region Syddanmark må ikke slette lovligt indsamlede/videregivne oplysninger. Såfremt oplysningerne skal slettes, skal de inden da arkiveres i Rigsarkivet, med mindre Rigsarkivet vurderer, at oplysninger ikke er bevaringsværdige .

Der er ikke planer om at videregive oplysninger i Dansk Almenmedicinsk Database (DAMD) til 3. part. Dog vil oplysninger i DAMD blive videregivet til Rigsarkivet i forbindelse med arkivering og sletning af DAMD, med mindre Rigsarkivet vurderer, at oplysninger i DAMD ikke er bevaringsværdige.Venlig hilsenMads Haugaard81754937

  • 3
  • 0
Flemming Jacobsen

Hvordan kan dette være det mindste overraskende?

Vi snakker om stedet, hvor en tilfældig ansat kunne hente dybt personlige og fortrolige data på stortset alle danskere til sin computer, og derfra brænde dem på et par skiver - så han kunne sende dem til en tilfældig modtager.
På intet tidspunkt i processen har systemet sikret at data var passende krypteret.

SSI har tydeligvis ingen implementeret sikring af vores data, og ud fra de artikler jeg har set, så er ledelsen totalt ligeglade (eller inkompetente).

  • 6
  • 0
ove kjær kristensen

Jeg sender senere Region Syds svar, da jeg i øjeblikket er ved, at undersøge i EU, om regeringens handlemåde er ulovlig, selv om EU persondataforordningen ikke er faldet på plads endnu.

Som jeg er orienteret må en regering ikke tilsidesætte en EU lovgivning ved at handle inden den er trådt i kraft, så en lovgivningen ingen betydning får i fremtiden.

  • 1
  • 0
ove kjær kristensen

Jeg fik svar d. 19.12.2017 fra Region Syd, - og her er svaret:
se vedr. DAMD-databasenTak for din henvendelse.Region Syddanmark må ikke slette lovligt indsamlede/videregivne oplysninger. Såfremt oplysningerne skal slettes, skal de inden da arkiveres i Rigsarkivet, med mindre Rigsarkivet vurderer, at oplysninger-ne ikke er bevaringsværdige.Der er ikke planer om at videregive oplysninger i Dansk Almenmedicinsk Database (DAMD) til 3. part. Dog vil oplysninger i DAMD blive videregivet til Rigsarkivet i forbindelse med arkivering og sletning af DAMD, med mindre Rigsarkivet vurderer, at oplysninger i DAMD ikke er bevaringsværdige.Venlig hilsenMads Haugaard81754937

  • 2
  • 0
Anne-Marie Krogsbøll

Tak for svar, Ove Kjær Kristensen.
Kan du oplyse præcist, hvad du har bedt om fra regionen, evt. kopiere ordlyden ind her?

Dele af DAMD er jo lovligt indsamlede (diabetes, KOL, hjertesvigt og depression), så hvis det er dem, du har bedt om, så er det nok svært at få slettet. Men hvis de gemmer andre DAMD-data stadigvæk, så er det interessant, hvis de ikke allerede er slettede. Så kræver det opfølgning.

  • 1
  • 0
ove kjær kristensen

Ja det kan du have ret i, så jeg spørger igen.
Her var mine spørgsmål til EU oplysningen der er afsendt:
1 af 1.818

Udskriv alle I nyt vindue
Persondataforordningen.

Ove Kjær Kristensen <ovekjkristensen@gmail.com>
11.03 (for 10 minutter siden)

til euopl
Kære EU oplysning.

Der er stor frustration i den danske befolkning om det regeringen har foretaget sig, omkring udlevering af personlige helbredsoplysninger er lovlig?
I disse oplysninger indgår f.eks. også DNA oplysninger, så man altid kan finde frem til den enkelte person.

Lægeforeningen oplyser at den aftale der er indgået mellem læge og patient ikke må videregives til 3. part her forskning uden patientens informeret samtykke.

Som jeg forestår jura kan man ikke foretage en handlemåde der tilsidesætter de indgåede aftaler mellem læge og patient, uden denne aftale er opsagt?
Det er ikke sket her og Regionernes indsamling af f.eks, DAMD oplysninger bliver i fremtiden videresendt til Rigsarkivet der uden patentens samtykke bestemmer, hvad der skal ske med disse oplysninger.

Jeg spørger derfor på den danske befolknings vegne om det i EU persondataforordningen er mulighed for at imødekomme det regeringen har foretaget?
Der er vedhæftet nogle artikler til orientering, men mine spørgsmål er generel og ikke konkret, selv om jeg forklare dem konkret.

https://www.version2.dk/artikel/ulovlig-datahaandtering-hos-statens-

http://denoffentlige.dk/node/56097serum-institut-holder-ikke-oeje-med-da...

https://www.version2.dk/artikel/statens-serum-institut-sender-patientdat...

https://www.version2.dk/artikel/undervisningsministeriet-politianmeldt-a...

Patientdataforeningen. Der vil med den nye lov ganske rigtigt, som det er tilfældet i dag, blive tale om samtykke til DNA aflæsning til behandling. Men informeret samtykket afgivet til behandling er IKKE det samme som et informeret samtykke til at afgive sit arvemateriale til genomcenter. Samtykket til behandling gælder også i dag ved DNA-aflæsning, og behandlingen finder altså sted helt uden et genomcenter.

Med den nye lov vil DNA-koden UDEN samtykke og UDEN mulighed for at sige fra efterfølgende blive kopieret og overført til det nye genomcenter. Et informeret samtykke skal placeres FØR DNA-data centraliseres, og EFTER patienten er informeret om og indforstået med alle de formål DNA-data kan bruges til.

Ingen steder i den nye lov nævnes mulighed for samtykke til at overlade sine DNA-data til det ny genomcenter. I realiteten er der derfor tale om tvang. Hvis man vil have behandling er der ingen vej udenom, man kan ikke slippe for at en kopi af DNA-aflæsning overføres fra patientjournal til genomcenter, også selvom det ikke er nødvendigt for behandlingen på afdelingen.

I genomcenter vil man efterfølgende indhente alle de personoplysninger, der skønnes nødvendige for genomcentrets virke UDEN samtykke. Efter DNA-koderne på den måde er blevet beriget med data fra de mangfoldige danske registre, kan data bruges til en række formål og i loven nævnes: Forvaltning af læge- og sundhedstjenester, forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje, statistiske formål, patientbehandling og forskning.

Lægeforeningen mener i et høringssvar at patiententer bør have ret til udbredt stillingtagen og det manglende informerede samtykke er problematiseret i en række høringssvar fra DSAM, Institut for Menneskerettigheder, Etisk Råd og IT-politisk Forening.

I den danske strategirapport "Personlig medicin til gavn for patienterne” gældende for 2017-20 omtales lignende projekter fra England, Finland, Norge og USA. I den danske rapport nævnes samtykke ikke.

⦁ I det engelske "100.000 genomes project" er der informeret samtykke til deltagelse.
⦁ I Finland arbejder man med en form for samtykke, formen for samtykke er dog beskrevet uklart i en rapport. Consent nævnes 7 gange i deres rapport.
⦁ I Norge er der informeret samtykke, som nævnes 45 gange i rapport om deres projekt.
⦁ I USA er der informeret samtykke, consent nævnes 63 gange i deres rapport.

Man undlader også at fortælle at DNA-fødekæden til genomcenter vil have tre veje. Som det fremgår af rapporten ”Personlig medicin til gavn for patienterne”, vil DNA-fødekæden for det ny genomcenter nemlig have tre veje:
⦁ DNA-sekventering i forbindelse med behandling af syge patienter.
⦁ DNA-sekventering i forbindelse med forsøg på mennesker.
⦁ DNA-sekventering i forbindelse med forskning for eksempel på vævsprøver fra biobanker.

Det fremgår også tydeligt af to figurer i rapporten. Og fra bemærkninger til loven fremgår det desuden at ideen er, at genomcenter kan få DNA-data fra patientjournaler, registre, databaser og biobanker.

Fra bemærkninger til lovforslaget på Høringsportalen: ”Bestemmelsen indebærer, at sundhedsministeren kan bestemme, at Nationalt Genom Center til brug for udførelsen af centrets myndighedsopgave kan modtage og behandle genetiske oplysninger og andre personoplysninger fra patientjournaler, registre, databaser, biobanker m.v. til brug for understøttelse af patientbehandling, forvaltning af sundhedstjenester mv. i sundhedsvæsnet samt til brug for understøttelse af udviklingen af Personlig Medicin gennem forskning og statistik.”

Når ministeren bestemmer noget, så er det via en administrativ bekendtgørelse, som er udenfor Folketingets parlamentariske kontrol
Ove Kjær Kristensen Når man har brudt de etiske regler uden at spørge Patienterne har man overtrådt de etiske Menneskerettigheder. http://www.who.int/ethics/research/en/
Administrer

WHO | Ethical standards and…
Research ethics govern the standards of conduct for scientific researchers. It is important to adhere to…
WHO.INT
1
Administrer

WHO | Ethical standards and…
WHO.INT
Synes godt om · Svar · Fjern forhåndsvisning · 3 d
Ove Kjær Kristensen

19/12/2017

Derforuden vil jeg gerne have lovgivningen med omkring persondataforordningen, og vil yderligere spørge om sagen evt. kan rejses i EU domstolen eller menneskerettighedsdomstolen såfremt det kan være tvivl om gældende lovgivning er overholdt?

MVH.

Klik her for at svare eller videresende
4,32 GB (28 %) af 15 GB er brugt
Administrer
Vilkår - Privatliv
Seneste kontoaktivitet: for 29 minutter siden
Detaljer

  • 1
  • 0
Claus Nørgaard Gravesen

"0 Kommentarer" under artiklen.


I øvrigt ganske sikkert censureret af Videnskab.dk selv via Disqus' filter. Jeg har ikke selv benyttet det ret meget før, men har netop oplevet det samme.

Her er deres politik:

"On this forum, comments that are off-topic, duplicate questions or answers, or that contain inaccurate, false or potentially misleading information and links are subject to removal."

De er dog ikke "subject to removal", da de bliver det ganske automatisk af Disqus-filteret. Her er lidt mere info om deres filter:
https://www.oneangrygamer.net/2017/08/disqus-adds-new-toxic-filter-to-ce...

Dvs. at moderatorerne selv, i dette tilfælde Videnskab.dk, via moderator-tools bestemmer, hvilke ord, links og IP-adresser filteret skal fange som spam og automatisk fjerne eller forhindre udgivelsen af - og det er hele indlægget, der så ikke kan postes.

Derefter bliver brugeren markeret som "spammer" af filteret, og kan kun cleares igen af en lokal moderator - Disqus vil ikke selv cleare en account. De lokale moderatorer har selv sat deres eget filter op, så de har ingen interesse i at cleare brugere, som går i deres net. Brugerens markering som "spammer" gør dog også, at vedkommende heller ikke kan poste på andre Disqus fora uden at skulle have godkendt hver enkelt kommentar af en moderator - det de kalder "pending" - hvilket langt fra altid sker, idet moderatorerne blot kan efterlade den enkelte kommentar "pending" på ubestemt tid.

Censur når det er bedst.

Det er vel i øvrigt ganske ulovligt at censurere så groft? @Version2

  • 1
  • 0
Log ind eller Opret konto for at kommentere