Besvarelse af spørgsmål nr. 42 (L 50), som Folketingets Sundhedsudvalg har stillet til indenrigs- og sund­hedsministeren den 14. november 2006

 

Spørgsmål 42:

"Det fremgår af lovforslagets bemærkninger, at ”Lovforslagets bestemmelser regulerer ikke direkte spørgsmålet om teknisk adgang og den sikkerhedsmæssige forebyggelse af misbrug”, men at ansvaret for at tilvejebringe den fornødne sikkerhed overlades de dataansvarlige (regioner, privathospitaler, praktiserende læger m.fl.). Har ministeren sikkerhed for, at der i praksis kan tilvejebringes teknisk adgang og sikkerhedsmæssig forebyggelse af misbrug på en måde, så de ansvarlige får mulighed for at leve op til dette ansvar? Hvilken betydning mener ministeren det har for sikkerheden, at ansvaret for den tekniske adgang og den sikkerhedsmæssige forebyggelse af misbrug overledes til så mange enkeltaktører (regioner, privathospitaler, praktiserende læger m.fl.)?"

 

Svar:

Der findes allerede i dag elektroniske patientjournaler i sundhedsvæsenet.

 

Anvendelse af elektroniske patientjournaler er reguleret. Der er således i de allerede gældende persondataretlige regler krav om, at den dataansvarlige skal træffe de fornødne sikkerhedsforanstaltninger mod bl.a., at personoplysninger misbruges, jf. lov om behandling af personoplysninger § 41, stk. 3. Den dataansvarlige myndighed skal endvidere overholde reglerne i sikkerhedsbekendtgørelsen, jf. bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning. Se herom besvarelsen af spørgsmål 15 og 16.

 

Det er således efter de gældende regler den enkelte dataansvarlige, der er ansvarlig for og skal sikre, at der er det fornødne sikkerhedsniveau i forbindelse med behandling af personoplysninger.

 

Den dataansvarlige region, privathospital eller praktiserende læge er således allerede i dag ansvarlig for tilrettelæggelse af den tekniske adgang og den sikkerhedsmæssige forebyggelse af misbrug.

 

Sikkerheds- og brugerstyringsproblematikker er endvidere et vedvarende tema i overvejelserne for den fremtidige EPJ-udvikling. Det er imidlertid den nye centrale EPJ-organisation, der i første omgang skal behandle denne problemstilling, herunder spørgsmålet om de tekniske muligheder og begrænsninger. Ligeledes vil det også i første omgang være op til den centrale EPJ-organisation at drøfte behovet for en central sikkerheds- og brugerstyringsløsning.

 

Når den centrale EPJ-organisation har færdiggjort sine overvejelser, vil der blive taget stilling til, hvorvidt der er behov for, at indenrigs- og sundhedsministeren som foreslået i lovforslagets § 1, nr. 31 (§ 193 a) fastsætter krav til sundhedsvæsenets IT-anvendelse, herunder IT-sikkerhed, samt til godkendelse heraf, eksempelvis i form af en certificeringsprocedure som styringsredskab, såfremt der er behov herfor for f.eks. at sikre effektiv gennemførelse.