Elektronisk medicinsk fil: 2026 sikkerhedsstandarder

Den elektroniske patientjournal er underlagt to regelsæt, der ikke overlapper: reglerne om beskyttelse af personoplysninger, som behandler sundhedsoplysninger som en særlig kategori underlagt et principielt forbud, og den franske sundhedslov (Code de la santé publique), som fastsætter sine egne opbevaringsfrister og adgangsrettigheder. Overholdelse af det første regelsæt udgør ikke overholdelse af det andet, og de fleste konstaterede overtrædelser skyldes netop denne sammenblanding.

Hosting: en obligatorisk certificering

Enhver, der hoster personlige sundhedsoplysninger på tredjeparts vegne i forbindelse med forebyggelse, diagnosticering eller behandling, skal være certificeret til dette formål.

Denne forpligtelse er grundlæggende og bliver ofte opdaget for sent. Den afhænger ikke af datamængden eller organisationens størrelse: en klinik, der overlader sit fagsystem til en onlineudbyder, skal sikre sig, at dataene hostes af en certificeret aktør. Ansvaret for denne kontrol ligger hos den dataansvarlige, det vil sige hos den sundhedsprofessionelle eller institutionen, og ikke hos leverandøren.

Der følger to praktiske konsekvenser heraf: databehandleraftalen skal eksplicit nævne denne certificering og dens omfang, og et skift af leverandør eller infrastruktur kræver, at man kontrollerer denne dækning igen.

Reglerne for sundhedsoplysninger

Sundhedsoplysninger hører til en særlig kategori, hvis behandling i princippet er forbudt. Behandlingen er kun lovlig, hvis den falder under en af de udtømmende opregnede undtagelser — navnlig sundhedsbehandling, forebyggende medicin eller den pågældende persons udtrykkelige samtykke.

Denne omvendte opbygning har en direkte konsekvens: for hver behandling skal man kunne udpege den undtagelse, den bygger på. En sekundær anvendelse af dataene — intern statistik, forbedring af et værktøj, forskning — kan ikke udledes af lovligheden af behandlingen med henblik på pleje; den kræver sit eget retsgrundlag.

Hertil kommer de generelle forpligtelser: fortegnelse over behandlingsaktiviteter, oplysning af de registrerede, fastsatte opbevaringsfrister og konsekvensanalyse, når behandlingen indebærer en høj risiko — hvilket ofte er tilfældet for en elektronisk patientjournal.

Opbevaringsfrister

Disse fastsættes af den franske sundhedslov (Code de la santé publique) og ikke alene af princippet om opbevaringsbegrænsning.

En patientjournal, der er oprettet på en sundhedsinstitution, skal opbevares i tyve år fra datoen for det seneste indlæggelsesophold eller den seneste ambulante konsultation. Hertil kommer to særlige regler:

• For en patient, der er mindreårig på behandlingstidspunktet, forlænges opbevaringen indtil vedkommendes 28-års fødselsdag, hvis dette tidspunkt ligger senere.
• I tilfælde af dødsfald hos patienten mindre end ti år efter det seneste besøg, opbevares journalen i mindst ti år fra dødsdatoen.

Disse frister suspenderes ved enhver klage eller retssag, der har til formål at fastslå institutionens eller de sundhedsprofessionelles ansvar.

Sammenhængen med forældelsesfristerne for ansvarssager er direkte: sagen forældes efter ti år fra det tidspunkt, hvor skaden er konsolideret, og en journal, der destrueres for tidligt, fratager den sundhedsprofessionelle sit vigtigste forsvarsmiddel — et emne, vi behandler i detaljer i vores artikel om professionelt civilretligt ansvar.

Sporbarhed af adgange

Dette er det mest operationelle krav, og det, hvis mangel er sværest at rette op på efterfølgende.

Hver adgang til journalen skal logges: hvem der har haft adgang, til hvilket element, og på hvilken dato. Denne logning opfylder to forskellige og komplementære funktioner.

Den forebygger og opdager uretmæssige adgange, som udgør en af de mest hyppige overtrædelser på institutioner — opslag i en kollegas, en nærtståendes eller en bekendts journal.

Den beskytter den sundhedsprofessionelle, idet den gør det muligt at vise, at en påstået adgang ikke har fundet sted, eller at en omtvistet adgang faktisk var berettiget som led i behandlingen. Uden en log kan en mistanke hverken bekræftes eller afkræftes.

Adgangsrettigheder skal desuden differentieres efter opgaver: det at være medlem af behandlingsteamet giver ikke adgang til hele journalen, men kun til de nødvendige oplysninger, som beskrevet i vores artikel om tavshedspligt for sundhedspersonale.

Patientens ret til adgang

Patienten har direkte adgang til alle oplysninger om sin sundhed uden at skulle begrunde sin anmodning.

Udleveringen sker tidligst efter en betænkningstid og senest inden for en frist, der forlænges, hvis oplysningerne er mere end fem år gamle. Eventuelle gebyrer begrænses til kopierings- og forsendelsesomkostninger.

To begrænsninger regulerer denne ret: oplysninger indsamlet fra tredjeparter, der ikke deltager i behandlingen, er undtaget, ligesom oplysninger om sådanne tredjeparter. Efter dødsfald er de efterladtes adgang underlagt et særskilt regelsæt, begrænset til de oplysninger, der er nødvendige for det anførte formål.

Anvendelsesscenarier

Skift af fagsystem. Kontrollér den nye leverandørs hostingcertificering, datareversibiliteten og eksportformatet. En migrering uden en genoprettelsesplan udsætter for risikoen for at tabe journaler, hvis opbevaringsfrister stadig løber.

Gruppepraksis. Differentiér adgangsrettigheder efter behandler og patient i stedet for at give alle adgang til hele journalen. Dette er det mest almindelige kontrolpunkt, og det handler lige så meget om organisering som om teknik — et emne, vi behandler i vores artikel om administrativ compliance for en lægepraksis.

Anmodning om adgang fra en patient. Kontrollér identiteten, isolér de undtagne oplysninger, og respekter den gældende frist afhængigt af oplysningernes alder. Log anmodningen og svaret: overholdelse af fristen skal kunne dokumenteres.

Ofte stillede spørgsmål

Skal man bruge en certificeret hostingudbyder? Ja, så snart sundhedsoplysninger hostes på en tredjeparts vegne i forbindelse med forebyggelse, diagnosticering eller behandling. Kontrollen er den dataansvarliges ansvar, ikke leverandørens.

Hvor lang tid skal en patientjournal opbevares? Tyve år fra det seneste besøg på institutionen, med forlængelse indtil patienten fylder 28 år, hvis vedkommende var mindreårig, og mindst ti år fra dødsfaldet, hvis dette skete inden for de ti år.

Kan patienten få adgang til sin journal? Ja, direkte og uden begrundelse, inden for de fastsatte frister, som forlænges for oplysninger, der er mere end fem år gamle. Der kan kun opkræves kopierings- og forsendelsesomkostninger.

Er logning af adgange obligatorisk? Ja, og den beskytter i lige høj grad den sundhedsprofessionelle og patienten: uden en log kan en omtvistet adgang hverken bekræftes eller afkræftes.

Kan en sundhedsprofessionel få adgang til alle journaler i organisationen? Nej. Adgangen begrænses til de oplysninger, der er nødvendige for vedkommendes opgave i behandlingen af den pågældende patient. Adgangsrettighederne skal differentieres i overensstemmelse hermed.

Kan dataene anvendes til statistiske formål? Ikke som del af behandlingen med henblik på pleje. Enhver sekundær anvendelse kræver sit eget retsgrundlag, og eventuelt en specifik oplysning til de registrerede.

Det væsentlige

Der er to regelsæt, som gælder samtidigt og skal behandles separat. Databeskyttelsesreglerne kræver, at man for hver behandling udpeger den undtagelse, der gør den lovlig — plejeformålet dækker ikke sekundære anvendelser. Den franske sundhedslov fastsætter sine opbevaringsfrister, som tælles i årtier og suspenderes i tilfælde af klage eller retssag.

Imellem de to findes en ordning, der tjener begge regelsæt på samme tid: logning af adgange kombineret med differentierede adgangsrettigheder. Det er det, der gør det muligt at dokumentere, at grænsen for »det nødvendige for opgaven« er blevet respekteret, og det er også det, der beskytter den sundhedsprofessionelle, når en adgang bebrejdes vedkommende. Denne logik svarer til den, der gælder for indsamling af samtykke: det, der ikke er logget, kan hverken bevises eller afvises.