Topledelsen i Region Hovedstaden slog i juni 2019 fast, at der skulle strammes op for kontrollen med ansattes snageri i patientjournaler.
Alligevel er en læge politianmeldt for uberettiget at have kigget i samlet 1.230 personers dybt personlige oplysninger fra juni 2017 til juli 2022, inden det blev opdaget af en borger med personlig relation til lægen.
Altså skal snageriet være sket i tre år, hvor der ellers skulle have været strammet op for kontrollen.
Blandt andet har en kvinde til B.T. fortalt, hvordan hun følte, at det var »dybt ulækkert«, at lægen har snaget i hendes og hendes meget handicappede datters journaler.
Men Region Hovedstaden vil ikke ud med, hvor mange patienters journaler lægen lykkedes med at snage i, efter at kontrollen ellers skulle have været skærpet i efteråret 2019.
»Af sikkerhedsmæssige årsager oplyser vi ikke om de konkrete kontroller, omfanget eller rækkevidden af disse i log-opfølgning. Det er en del af den ønskede præventive effekt af log-opfølgningen, at dette ikke kendes samt løbende justeres,« oplyser Region Hovedstaden.
Thomas Ploug, der er professor i dataetik på Aalborg Universitet, vurderer, at det svar er en erkendelse af, at den automatiske log-opfølgning ikke har fungeret godt nok.
»Jeg mener, at det svar mest af alt er en tilståelse af, at kontrollen ikke har fungeret. I tre år med automatiseret log-opfølgning har den ansatte kunnet lave uberettiget opslag i patientjournaler, uden regionen har opdaget det,« siger han.
For tre år siden var Region Hovedstaden ellers meget klart advaret om, at kontrollen med uberettigede kig i patientjournaler dengang sejlede.
I juni 2019 viste en rapport fra advokatfirmaet Bech Bruun nemlig, at der ikke var styr på sundhedspersonalets mulighed for at snage i dybt personlige oplysninger om patienter i hovedstaden.
»Regionen tilsidesætter det ansvar, de har som dataansvarlig myndighed. Det er nærmest en ren tilståelsessag. Rapporten peger på, at de kontrolmekanismer, de har sat op, er så bredmaskede, at der reelt ingen kontrol er,« sagde lektor i sundhedsret Kent Kristensen på Syddansk Universitet 23. juni 2019 til Politiken.
Region Hovedstaden lovede at stramme op for kontrollen med at indføre en 'automatiseret log-opfølgning', ligesom der er i Region Sjælland.
»Det er korrekt, at vi har en manuel stikprøvekontrol. Derfor har vi kigget på den løsning, de har i Region Sjælland. Den har været drøftet på et koncernledelsesmøde her i regionen og vil blive implementeret i løbet af efteråret 2019,« sagde Pia Kopke, der er vicedirektør i Region Hovedstadens Center for It, Medico og Telefoni, dengang til Politiken.
Ingen i Region Hovedstaden ønsker at stille op til et mundtligt interview eller lægge navn til, hvorfor en læges snageri ikke er blevet opdaget af systemet i næsten tre år, efter at regionen blev gjort opmærksom på problemerne.
I stedet har B.T. skullet sende spørgsmål på mail, som regionen har kunnet svare skriftligt på.
Region Hovedstaden oplyser, at en 'større delmængde' af lægens uberettigede opslag er sket, før den automatiske log-opfølgning skulle stramme op for kontrollen.
Men der nævnes intet om, hvor mange der er sket i de knap tre år, hvor der skulle have været en skarpere kontrol.
»Af sikkerhedsmæssige årsager kan Region Hovedstaden ikke oplyse konkrete tal for den automatiske log-opfølgning, da dette vil give indblik i rækkevidden af den automatiske log-opfølgning og svække kontrollens præventive effekt,« lyder svaret.
Hvordan kan det svække 'kontrollens præventive effekt' at få et svar på, hvor mange uberettigede opslag medarbejderen har lavet, siden der blev strammet op for kontrollen i 2019?
»En vigtig del af kontrollens styrke og præventive effekt består i uvisheden om, hvad kontrollen søger efter, og hvor den søger henne. Konkrete tal på f.eks. antallet af hændelser, der er identificeret af kontrollen, mindsker denne uvished,« skriver Region Hovedstaden.
Professor Thomas Ploug mener, at det må være, fordi det viser, at den automatiserede log-opfølgning ikke har fungeret godt nok. Men det kan man ikke konkludere, skriver regionen:
»Vores svar vil således være det samme, uanset hvilke tal der efterspørges, og uanset tallenes faktiske værdi, hvorfor vores svar ikke bør ses som et udtryk for en vurdering af kontrollens kvalitet.«
Ikke desto mindre siger regionen også, at sagen giver anledning til en »grundig evaluering« af kontrollen.
