I to linjer
Det italienske tilsynet, vedtak nr. 616 av 3. september 2026 (doc. web nr. 10293994): 24 000 euro til universitetshelseforetaket Friuli Centrale for brudd på art. 5 nr. 1 bokstav a, b, c og f, 9, 25 og 32 GDPR, art. 75 i loven og retningslinjene om pasientjournal av 4. juni 2015.
I 2022 åpner en kollega på avdelingen klagerens pasientjournal — ansatt og samtidig pasient ved samme foretak — for å sjekke om hun har covid-19 og sette opp vaktlisten. I anmeldelsen foretaket selv leverer til påtalemyndigheten i Udine, omtales tilgangen som «ikke misbruk», fordi den skjedde «etter oppdrag fra den medisinske ledelsen» og «for utførelsen av arbeidet». Under saksbehandlingen kommer flere oppslag fram, gjort av helsepersonell som ikke hadde henne til behandling.
Hvorfor forsvaret ikke holder
Pasientjournalen finnes for å hjelpe helsepersonellet med å plassere pasientens helsetilstand i behandlingsforløpet: det, og bare det, gjør innsyn lovlig. Et organisatorisk behov — å vite hvilke folk man kan regne med — er et annet formål, og må dekkes med egne verktøy. Tilsynet legger til et praktisk argument som veier mer enn mange formaninger: journalen er i sin natur ufullstendig, fordi den registrerte kan skjerme opplysninger, og de skjermede kan være nettopp de det organisatoriske formålet trenger. Å bruke den til vaktlisten er ikke bare ulovlig: det virker ikke.
Hva tilsynet påla, innen seksti dager:
- Begrense tilgangen til journalen til behandlingsformål alene, og utelukke personale som opptrer som den registrertes arbeidsgiver
- Innføre tilgangsgrenser konfigurert i systemet, ikke overlatt til den enkeltes atferd
- Innføre avviksdeteksjon som automatisk varsler om mistenkelig atferd
- Melde de iverksatte tiltakene til tilsynet innen seksti dager etter forkynning, etter art. 58 nr. 2 bokstav d
Detaljen som avgjør saken
Siden 2024 sier foretaket at det har et system for avviksdeteksjon: det består i å gå gjennom en Excel-fil med resultatene av spørringer mot revisjonsloggen til fremviseren. Det er verdt å lese to ganger. Tilgangskontroll som finnes som et regneark noen ser på for hånd, er ikke et teknisk tiltak etter art. 32: det er en god intensjon med et teknisk navn. Og når foretaket prøver å forklare oppslagene det ikke kan tilskrive noen, antyder det at noen «tok over» en ubetjent arbeidsstasjon — som er den nøyaktige beskrivelsen av kontrollen som mangler.
Hva du spør helseklienten din om
1) Spør om det finnes et teknisk skille mellom dem som går inn for å behandle og dem som går inn for å administrere, og få det vist i konfigurasjonen, ikke i rutinen. 2) Spør hvordan et avvikende oppslag oppdages: inneholder svaret ordet «Excel», har du funnet avviket. 3) Be om bevis for siste varsel som ble utløst og hva som skjedde etterpå: et system som ikke har meldt noe på tre år er ikke et rolig system, det er avslått. 4) Kontroller at personalet vet at oppslag uten behandlingsforhold også er ulovlig tilgang til datasystem etter art. 615-ter i den italienske straffeloven, og at foretaket allerede har anmeldt slike tilfeller.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
