Outsourcing i sykehusene settes på vent: – I ytterste konsekvens terminerer vi avtalen

Driften av Helse Sør-Østs datasystemer fra utlandet settes på vent etter avsløringene om at IT-arbeidere har hatt tilgang til pasientinformasjon, melder NRK.

Ifølge en ekstern gransking fra PricewaterhouseCoopers (PwC) hadde minst 34 personer hos Helse sør-østs underleverandører tilgang til helseopplysninger om pasienter og epost til ansatte.

Administratorrettigheter

Det kan ikke utelukkes at IT-ansatte i utlandet fortsatt har slik tilgang, sier Are Muri i revisjonsselskapet til NRK.

– Dette er tilganger av en slik karakter at de har eller vil kunne tilegne seg eller andre brukere administratorrettigheter på én eller flere servere. Det er ikke mulig å hindre at slike brukere får tilgang på helseinformasjon, påpeker han.

Ifølge den foreløpige gjennomgangen PwC presenterte onsdag, har sju av de 34 personene faktisk koblet seg til de aktuelle serverne i Helse sør-øst.

Umulig å undersøke

Revisjonsselskapet påpeker at det er mer eller mindre umulig å undersøke om de faktisk har åpnet sensitiv informasjon, og at de ikke er i stand til å bekrefte eller avkrefte forklaringene til de aktuelle IT-ansatte.

Revisjonsselskapet retter også kritikk mot helseforetaket i sine foreløpige konklusjoner. PwC påpeker blant annet at datterselskapet Sykehuspartner HF ikke har god nok kontroll på hvem som får tilganger.

Datterselskapet hadde fått oppgaven med å forvalte avtalen med den eksterne leverandøren som skal drifte IKT- infrastrukturen i foretaksgruppen.

Teknologidirektør gikk

I etterkant av skandalen gikk Thomas Bagley av både som styreleder i Sykehuspartner og som teknologidirektør i helseforetaket.

Rapporten er resultatet av en ekstern gransking styret i Helse sør-øst ba om. Dette etter en NRK-avsløring som viste at opptil 100 IT-arbeidere i Bulgaria og Malaysia hadde hatt tilgang og utvidede rettigheter til helseforetakets datasystemer over en toukersperiode i slutten av april.

Rapporten konkluderer videre med at informasjonssikkerheten ikke har blitt godt nok vurdert, og at styret i helseforetaket ikke har fått god nok informasjon om risikoene ved prosjektet.

Skulle ikke ha tilgang til pasientdata

Styret har blant annet fått beskjed om at personell som drifter infrastruktur ikke skulle ha tilgang til personsensitive opplysninger, og at den eksterne partneren ikke ville få tilgang til pasientdata i forbindelse med IT-moderniseringsprosjektet.

Helse sør-østs administrerende direktør, Cathrine M. Lofthus, sier prosjektet er lagt på is inntil videre.

– I ytterste konsekvens må vi terminere avtalen. Jeg utelukker ingen alternativer. Vi må snu hver stein, understreker hun til NRK.

Krever at Høie får svar

Helseminister Bent Høie (H) ba i begynnelsen av mai om en nærmere redegjørelse fra Helse sør-øst, og skulle etter planen motta denne samme dag som den eksterne rapporten fra PwC ble lagt fram.

Statsråden uttalte at han ville avvente denne redegjørelsen før han vurderte videre oppfølging av saken.

Helse sør-øst er det største av Norges fire regionale helseforetak, og ifølge NRK kan IT-arbeiderne ha hatt tilgang til pasientdata for så mange som 2,8 millioner mennesker.