Hur mycket information om patienter ska en anställd inom Region Östergötland egentligen ha tillgång till via it-systemet Cosmic?
Den frågan står i centrum för en dom som har meddelats av Förvaltningsrätten i Stockholm. Datainspektionen kom efter en granskning fram till att regionen saknar tillräckliga rutiner för att förhindra att anställda kommer åt känslig information som de inte har behov av för att kunna utföra sitt arbete. En för vid behörighet kan, enligt Datainspektionen, leda till obefogad spridning av patientuppgifter.
Riskanalys
Datainspektionen krävde att Region Östergötland skulle ta fram en dokumenterad behovs- och riskanalys för huvudjournalsystemet. Myndigheten krävde även att regionen skulle skapa rutiner som säkerställer att tilldelningen av behörighet sker i enlighet med gällande bestämmelser. Inom Region Östergötland är det verksamhetscheferna som haft ansvar för att utforma rutiner – men enligt Datainspektionen är inte det förenligt med vare sig patientdatalagen eller Socialstyrelsens föreskrifter.
Inte tillräckligt
Region Östergötland valde att överklaga till Förvaltningsrätten i Stockholm och argumenterade för att det valda arbetssättet är förenligt med gällande lagstiftning. Förvaltningsrätten håller dock inte med. Enligt domstolen är det inte tillräckligt att varje verksamhetschef genomför en behovs- och riskanalys. Förvaltningsrättens dom innebär att Region Östergötland nu måste rätta sig efter Datainspektionens krav på att vårdgivaren ska ansvara för att varje användare tilldelas en individuell behörighet för patientuppgifter.