Elektronisk medisinsk fil: 2026 sikkerhetsstandarder

Den elektroniske pasientjournalen er underlagt to regelverk som ikke overlapper: personvernreglene, som behandler helseopplysninger som en særlig kategori underlagt et prinsipielt forbud, og den franske folkehelseloven (Code de la santé publique), som fastsetter sine egne oppbevaringstider og egne innsynsrettigheter. Å være i samsvar med det første innebærer ikke samsvar med det andre, og de fleste avvik som oppdages, skyldes nettopp denne forvekslingen.

Hosting: en obligatorisk sertifisering

Alle som lagrer personlige helsedata på vegne av tredjeparter, i forbindelse med forebyggende aktiviteter, diagnostisering eller behandling, må være sertifisert for dette formålet.

Denne forpliktelsen er grunnleggende og oppdages ofte for sent. Den avhenger ikke av datamengden eller virksomhetens størrelse: en praksis som overlater sitt fagsystem til en leverandør på nett, må forsikre seg om at datalagringen utføres av en sertifisert aktør. Ansvaret for denne kontrollen ligger hos den dataansvarlige, det vil si hos fagpersonen eller institusjonen, og ikke hos leverandøren.

Dette gir to praktiske konsekvenser: underleverandøravtalen må uttrykkelig nevne denne sertifiseringen og dens omfang, og et bytte av leverandør eller infrastruktur krever at man kontrollerer denne dekningen på nytt.

Regelverket for helsedata

Helseopplysninger tilhører en særlig kategori der behandling i utgangspunktet er forbudt. Behandlingen er bare lovlig dersom den faller inn under et av de uttømmende oppregnede unntakene — særlig helsehjelp, forebyggende medisin, eller den enkeltes uttrykkelige samtykke.

Denne omvendte oppbyggingen har en direkte konsekvens: for hver behandling må man kunne angi hvilket unntak som ligger til grunn. En sekundær bruk av dataene — interne statistikker, forbedring av et verktøy, forskning — kan ikke utledes av lovligheten av behandlingen knyttet til helsehjelp; den krever sitt eget rettslige grunnlag.

Til dette kommer de generelle forpliktelsene: protokoll over behandlingsaktiviteter, informasjon til de registrerte, fastsatte oppbevaringstider, og vurdering av personvernkonsekvenser når behandlingen medfører høy risiko — noe som ofte er tilfellet for en elektronisk pasientjournal.

Oppbevaringstider

Disse følger av den franske folkehelseloven (Code de la santé publique) og ikke bare av prinsippet om lagringsbegrensning.

Pasientjournalen som opprettes ved en helseinstitusjon, oppbevares i tjue år fra siste innleggelse eller siste polikliniske konsultasjon. To særregler kommer i tillegg til dette:

• For en pasient som var mindreårig ved behandlingstidspunktet, forlenges oppbevaringen til pasientens 28-årsdag dersom dette tidspunktet ligger lenger frem i tid.
• Ved dødsfall hos pasienten mindre enn ti år etter siste besøk, oppbevares journalen i minst ti år fra dødsfallets dato.

Disse fristene avbrytes ved enhver klage eller rettslig sak som gjelder ansvaret til institusjonen eller helsepersonellet.

Sammenhengen med forældelsesfristene for ansvarssaker er direkte: kravet forelder etter ti år fra skaden er stabilisert, og en journal som destrueres for tidlig, fratar fagpersonen sitt viktigste forsvarsmiddel — et tema vi går nærmere inn på i vår artikkel om profesjonelt sivilrettslig ansvar.

Sporbarhet av tilganger

Dette er det mest praktiske kravet, og det hvis fravær er vanskeligst å rette opp i etterkant.

Hver tilgang til journalen må logges: hvem som har konsultert, hvilket element, på hvilken dato. Denne loggføringen fyller to distinkte og utfyllende funksjoner.

Den forebygger og oppdager uberettiget tilgang, som er ett av de vanligste bruddene ved institusjoner — å slå opp i journalen til en kollega, en nærstående eller en bekjent.

Den beskytter fagpersonen, ved å gjøre det mulig å bevise at en påstått tilgang ikke har skjedd, eller at en omstridt tilgang faktisk var knyttet til behandlingen. Uten logg kan en mistanke verken bekreftes eller avvises.

Tilgangsrettighetene må dessuten differensieres etter oppgave: det å være del av behandlingsteamet gir ikke tilgang til hele journalen, men bare til de opplysningene som er nødvendige, slik vi forklarer i vår artikkel om taushetsplikt for helsepersonell.

Pasientens innsynsrett

Pasienten har direkte tilgang til alle opplysninger om sin egen helse, uten å måtte begrunne forespørselen.

Utleveringen skjer tidligst etter en betenkningstid og senest innen en frist som forlenges når opplysningene er mer enn fem år gamle. Eventuelle kostnader er begrenset til kostnadene for kopiering og utsending.

Denne retten er begrenset på to måter: opplysninger innhentet fra tredjeparter som ikke deltar i behandlingen er unntatt, og det samme gjelder opplysninger som gjelder slike tredjeparter. Etter dødsfall er de etterlattes innsynsrett underlagt et eget regelverk, begrenset til opplysninger som er nødvendige for det angitte formålet.

Brukstilfeller

Bytte av fagsystem. Kontroller hostingsertifiseringen til den nye leverandøren, muligheten for datareversering, og eksportformatet. En migrering uten en gjenopprettingsplan innebærer en risiko for å tape journaler hvis oppbevaringsfrister fremdeles løper.

Gruppepraksis. Differensier tilgangsrettighetene per behandler og per pasient i stedet for å gi alle tilgang til hele journalen. Dette er det vanligste kontrollpunktet, og det er like mye et organisatorisk som et teknisk spørsmål — et tema vi tar opp i vår artikkel om administrativ etterlevelse for en legepraksis.

Pasientens innsynsforespørsel. Kontroller identiteten, skill ut de unntatte opplysningene, og følg fristen som gjelder ut fra opplysningenes alder. Dokumenter forespørselen og svaret: at fristen er fulgt, må kunne bevises.

Ofte stilte spørsmål

Må man ha en sertifisert hostingleverandør? Ja, så snart helsedata lagres på vegne av en tredjepart i forbindelse med forebygging, diagnostisering eller behandling. Kontrollansvaret ligger hos den dataansvarlige, ikke hos leverandøren.

Hvor lenge må en pasientjournal oppbevares? Tjue år fra siste besøk ved institusjonen, med forlengelse til pasienten fyller 28 år dersom vedkommende var mindreårig, og minst ti år fra dødsfallet dersom dette inntreffer innen ti år.

Kan pasienten få innsyn i sin egen journal? Ja, direkte og uten begrunnelse, innen de fastsatte fristene, som forlenges for opplysninger eldre enn fem år. Bare kostnader til kopiering og utsending kan kreves.

Er loggføring av tilganger obligatorisk? Ja, og den beskytter både fagpersonen og pasienten: uten logg kan en omstridt tilgang verken bekreftes eller avvises.

Kan en fagperson få tilgang til alle journaler i virksomheten? Nei. Tilgangen er begrenset til de opplysningene som er nødvendige for oppgaven i behandlingen av den aktuelle pasienten. Tilgangsrettighetene må differensieres i tråd med dette.

Kan dataene brukes til statistiske formål? Ikke som del av behandlingen knyttet til helsehjelp. All sekundær bruk krever sitt eget rettslige grunnlag, og eventuelt særskilt informasjon til de registrerte.

Det viktigste å huske

To regelverk gjelder samtidig og må behandles hver for seg. Personvernreglene krever at man for hver behandling angir det unntaket som gjør den lovlig — formålet om helsehjelp dekker ikke sekundær bruk. Den franske folkehelseloven fastsetter egne oppbevaringstider, som måles i tiår og avbrytes ved klage eller rettslig sak.

Mellom disse to finnes det ett tiltak som tjener begge regelverk samtidig: loggføring av tilganger, kombinert med differensierte tilgangsrettigheter. Det er dette som gjør det mulig å bevise at grensen for det «nødvendige for oppgaven» er blitt respektert, og det er også dette som beskytter fagpersonen når vedkommende blir beskyldt for en uberettiget tilgang. Resonnementet er det samme som gjelder for innhenting av samtykke: det som ikke er dokumentert, kan verken bevises eller avvises.