Vurder informasjonssikkerheten først
Helselovgivningen (3) og personvernforordningen (4) stiller krav til informasjonssikkerhet når kommunikasjon foregår i digitale kanaler. Kravene til informasjonssikkerhet er de samme, uavhengig av om helsepersonellet kommuniserer med pasienter gjennom virksomhetens digitale kanaler eller i private digitale kanaler.
Informasjonssikkerhet innebærer å beskytte konfidensialitet, integritet og tilgjengelighet av personopplysninger mot uautorisert tilgang, endringer eller ødeleggelser. Helseopplysninger er sensitive personopplysninger, og håndtering av disse har et iboende høyt risikonivå (5, 6). Den som behandler personopplysninger, må innføre passende tekniske og organisatoriske tiltak for å sikre dem (7).
Tekniske tiltak kan inkludere tilgangsstyring, passordbeskyttelse og logging (hvem bruker systemet, når og hvorfor). Organisatoriske tiltak kan være interne rutiner som angir hvilke systemer ansatte skal bruke i kommunikasjonen med pasienter.
Det er aldri tilstrekkelig å bare innføre tekniske og organisatoriske tiltak. Disse må også dokumenteres og etterleves i form av «tilgangsstyring, logging og etterfølgende kontroll» (8). For eksempel må nødvendige sikkerhetsoppdateringer utføres for å beskytte personopplysningene. Store helsevirksomheter har fagpersoner som ivaretar informasjonssikkerheten og gjør slike sikkerhetsoppdateringer, men ved bruk av private kanaler er det du selv som er ansvarlig for å dokumentere informasjonssikkerheten og gjennomføre oppdateringer.
Husk at helseopplysninger som deles i private digitale kanaler, kan komme på avveie på grunn av menneskelig feil. Du kan ved et uhell sende en SMS eller e-post med helseopplysninger til feil person, eller låne bort mobiltelefonen til et familiemedlem som ser det som er sendt eller mottatt i Messenger eller som SMS. Det siste skjedde med den syv år gamle pasienten Truls. Han var hos fastlegen fordi han var hoven i ansiktet etter et vepsestikk. Fastlegen tok et bilde av Truls' ansikt med sin mobiltelefon for å konferere med en sykehuslege. Senere samme dag lånte fastlegen bort mobilen til sin datter som ville spille et spill. Datteren så da bildet av klassekameraten Truls med hovent ansikt – og fortalte dette til alle på skolen neste dag. Du må også være oppmerksom på at helseopplysninger kan komme på avveie hvis du ikke har gjennomført sikkerhetsoppdateringer på din private telefon eller pc, noe som gjør at enheten er mer sårbar for dataangrep. Blir helseopplysninger kompromittert gjennom et dataangrep, vil dette være brudd på både informasjonssikkerheten og den lovpålagte taushetsplikten.