Region Syddanmark har konstateret et datasikkerhedsbrud i et af regionens it-systemer, der anvendes af regionens sygehuse.
Region Syddanmark har konstateret et brud på persondatasikkerheden, der teoretisk har gjort det muligt for regionens medarbejdere at skaffe sig adgang til patientoplysninger – herunder navn og CPR-nummer. Bruddet angår Region Syddanmarks platform til restjournaler, som er filer, der skal knyttes til patientjournaler i Region Syddanmarks elektroniske patientjournalsystem Cosmic. Det oplyser Region Syddanmark i en pressemeddelelse.
Region Syddanmark har lukket ned for bruddet og har sat gang i undersøgelser, der skal kortlægge, om der kan være lignende sårbarheder i regionens øvrige it-systemer.
Region Syddanmark har undersøgt aktivitetsloggen for de forudgående 3 måneder, og denne har vist, at filerne i mappen kun er blevet tilgået af ansatte med et arbejdsbetinget formål. Muligheden for uberettiget adgang er i øvrigt nu blevet lukket.
Tidlig kontakt til Datatilsynet
Da bruddet blev opdaget, rettede Region Syddanmark hurtigt henvendelse til Datatilsynet for at få råd og vejledning til vurderingen af sagen. Datatilsynet har nu afgjort, at Region Syddanmark skal underrette de berørte.
Administrerende sygehusdirektør på OUH, Niels Nørgaard Pedersen, siger:
– Vi vurderer ikke, at det er sandsynligt, at patientoplysningerne er faldet i de forkerte hænder. Vores medarbejdere arbejder under ansvar og håndterer under dette ansvar personoplysninger hver dag, og så skal man have en enormt stor viden om it og samtidig vide, præcis hvor og hvornår man skal lede, hvis man skulle have fat i disse oplysninger. Men uanset hvad, så skal sikkerheden være i orden, og derfor følger vi op og følger Datatilsynets anvisninger.
Niels Nørgaard Pedersen understreger, at det ikke er muligt for Region Syddanmark at underrette borgerne direkte:
– Systemet har kørt i syv år og har behandlet patientoplysninger om over 800.000 patienter, og det er ikke praktisk muligt for os at gå så langt tilbage og udpege, hvis patientoplysninger der har været igennem systemet. Derfor vælger vi at leve op til underretningsforpligtelsen via pressen, så vi kommer bredt ud.
På baggrund af Datatilsynets afgørelse udsender Region Syddanmark denne underretning:
Underretning om brud på persondatasikkerheden
Region Syddanmark underretter hermed 800.000 patienter i Region Syddanmark om et brud på persondatasikkerheden i et it-system til restjournaler. Datatilsynet har bedt regionen underrette patienterne, hvilket hermed sker.
Bruddet angår Region Syddanmarks platform til restjournaler, der anvendes af de 5 sygehuse i Region Syddanmark. Restjournaler er filer, som eksempelvis scanningsresultater, indgående papirdokumenter m.v. Platformen sender restjournalerne til Region Syddanmarks elektroniske patientjournal Cosmic, så de kan opbevares sikkert og blive tilgængelige via patientens journal.
Da filerne ikke umiddelbart efter scanning er tilgængelige via patientens journal i Cosmic, er Region Syddanmark nødt til først at sende filerne forbi en såkaldt restjournalplatform, som sender filerne til det sikrede arkiv og så gør filerne tilgængelige via journalerne i Cosmic. Restjournalerne opbevares kortvarigt, oftest kun i få sekunder, på otte servere, og der er på hver server en række mapper, hvor filerne passerer igennem, inden de kommer ind i Cosmic.
Bruddet på persondatasikkerheden bestod i, at det i ovenstående korte tidsrum, hvor dataene er undervejs fra et system til et andet, teoretisk var teknisk muligt for alle regionens medarbejdere, som arbejder under ansvar, at skaffe sig adgang til filerne med patientoplysningerne. Personoplysningerne har ikke været tilgængelige for personer, der ikke arbejder i Region Syddanmark. Medarbejderen skulle vide, hvordan man søger i regionens netværk. Dernæst skulle medarbejderen indtaste stien til netværksdrevet i stifinderen og gætte sig frem til navnene på en eller flere mapper, som indeholder restjournalerne. I langt de fleste tilfælde lå filerne kun kortvarigt i mapperne, oftest kun i sekunder, men nogle filer lå der længere, hvis der var problemer med at få sendt dem videre til Cosmic.
I en periode på 7 år er der på denne måde overført data for ca. 800.000 patienter.
CPR-numre og helbredsoplysninger
Patientoplysningerne er helbredsoplysninger og CPR-numre på regionens patienter, som opbevares i regionens system for patientjournaler. Det drejer sig endvidere om navn og fødselsdato på patienterne.
Har man været patient i Region Syddanmark i løbet af de seneste syv år, har der derfor været risiko for, at andre medarbejdere i Region Syddanmark end de, der arbejder med patienten, har haft mulighed for at få adgang og kendskab til deres oplysninger. Med adgang til personoplysninger på den måde kunne det være teoretisk muligt at eksportere dem og benytte dem til egne formål, som regionen ikke vil have kontrol over – f.eks. identitetstyveri.
Den generelle agtpågivenhed i forhold til, om ens personlige oplysninger er blevet misbrugt, er også gældende her. Region Syddanmark har ikke kendskab til, at nogen har benyttet denne adgang til noget kriminelt.
Kontrollen optimeres
Region Syddanmark har implementeret periodisk kontrol af regionens infrastruktur, som udfører sårbarhedsscanninger på ugentlig basis, og som rapporterer evt. sårbarheder til Regional IT. Kontrollen har dog ikke fanget den pågældende sårbarhed, hvorfor regionen på baggrund af afgørelsen vil undersøge og derpå vurdere, hvordan kontrollen kan optimeres.
