Videregivelse af oplysninger til analyseinstitut var i strid med sundhedsloven, da der ikke var givet samtykke

Styrelsen for Patientsikkerhed finder grundlag for at kritisere, at Sygehus 1 har videregivet oplysninger til et analyseinstitut om <****> den 5. februar 2014.

Klagen

Der er klaget over følgende:

·         At afdeling , Sygehus 1, brød sin tavshedspligt den 5. februar 2014.

har anført, hun den pågældende dag fik foretaget en abort, og at hun efterfølgende blev kontaktet af et analyseinstitut, som havde nogle spørgsmål til hendes besøg på Sygehus 1.

Begrundelse

Styrelsen har, medmindre andet er anført, lagt vægt på oplysningerne i journalen.

Indledende oplysninger

Ifølge klagen var den 5. februar 2014 på afdeling , Sygehus 1, med henblik på at få foretaget en abort. Hun blev efterfølgende, en måned senere, kontaktet telefonisk af et analyseinstitut, som sagde følgende: ”Hej , du har været på Sygehus 1s afdeling den 5. februar 2014, må jeg stille dig nogle spørgsmål omkring dit besøg?”.

Det fremgår videre af klagen, at analyseinstituttet ikke kendte s diagnose, men at de kendte hendes navn, telefonnummer, hospitalsafdeling og dato for konsultationen. Hun havde ikke givet samtykke til, at hun måtte kontaktes af et analyseinstitut.

Direktionssekretariatet, Sygehus 1, har til sagen den 2. juli 2014 oplyst, at de med henvisning til sundhedslovens § 43 og på baggrund af to regionale vejledninger, uden patientens samtykke, kunne videregive helbredsoplysninger til kvalitetssikring, statistik og kontrolopgaver. I det konkrete tilfælde blev oplysningerne videregivet til et sådant formål, og oplysningerne var i henhold til en aftale videregivet til et analyseinstitut, . Det var alene oplysninger om navn, hospital, afdeling, dato for kontakt (ikke diagnose eller undersøgelses-/behandlingsoplysninger), der blev videregivet til analyseinstituttet.

Styrelsen skal i den forbindelse bemærke, at den indsendte regionale vejledning vedrørende ”Helbredsoplysninger – med og uden samtykke” er gældende fra den 7. februar 2014. Den er således ikke gældende i forbindelse med s konsultation på afdeling , Sygehus 1, som fandt sted den 5. februar 2014. Vejledningen vil således ikke indgå i styrelsens afgørelse. Styrelsen bemærker dog, at det af vejledningen fremgår, at der gælder særlige regler om videregivelse af helbredsoplysninger til forskning, statistik m.v. Der henvises i den forbindelse til den regionale vejledning herom: ”Forskning – ansvar, opgaver, organisering og forsøgspersoners rettigheder”, som tillige er indsendt i forbindelse med styrelsens behandling af sagen.

Videre har Sygehus 1 oplyst, at oplysningerne blev videregivet til et analyseinstitut, som Region havde udpeget til formålet og indgået en særskilt aftale med, og at Region havde underskrevet en databehandleraftale med analyseinstituttet.

Endelig har Sygehus 1 oplyst, at der ikke er anført noget om videregivelsen af oplysningerne i s journal.

Ved e-mail af 21. juni 2016 anmodede styrelsen Sygehus 1 om at fremsende den aftale, som var indgået mellem Region og analyseinstituttet, samt data-behandler-aftalen. Endvidere blev Sygehus 1 anmodet om at oplyse, hvem og hvordan oplysningerne blev videregivet til analyseinstituttet, og om patienterne blev informeret inden videregivelsen.

Ved e-mail af 1. juli 2016 fremsendte Sygehus 1 databehandleraftalen mellem Region /Sygehus 1 og analyseinstituttet , dokumentation for sikkerhed samt anmeldelse af databehandlingen.

Styrelsen anmodede ved e-mail af 6. juli 2016 Sygehus 1 om at oplyse, hvilke præcise oplysninger der blev videregivet til analyseinstituttet, hvem der videregav oplysningerne til analyseinstituttet, herunder om det var sundhedspersoner, og om man informerede patienterne herom forinden.

Sygehus 1 har ved e-mail af 30. oktober 2016 supplerende oplyst, at rekvirerer dataudtræk hos , som leverer dataudtræk til , og at herefter videresender dataudtræk til . leverer efterfølgende udtrækningsdatasæt i formatet Excel, som bliver kopieret over på en USB-nøgle, og som efterfølgende bliver kørt ind til af en analysekonsulent, hvor data bliver overført til deres system. USB-nøglen kommer efterfølgende med analysekonsulenten tilbage.

Endvidere har Sygehus 1 oplyst, at nedenstående oplysninger blev videregivet til analyseinstituttet , og at de tre sidste variable var dem, som anvendte til at berige udtrækket med telefonnumre via InfoDirekt:

VARIABLE	INDHOLD	BESKRIVELSE
lobenr	fortløbende nummer	fx 1234
kvote_afdeling	Skskoden	fx 1309179
sghnavn	Sygehusnavn	Sygehus 1 / Sygehus 2
afdnavn	Afdelingsnavn	fx Ortopædkirurgisk ambulatorium 333
Kont_type	Kontakttype	Ambulant / indlagt
dato	Kontaktdato	Besøgsdato / udskrivelsesdato
alder	Patientens alder
Navn	Patientens navn
Adresse	Patientens adresse
postnr_by	Patientens postnummer og by

Videre har Sygehus 1 oplyst, at det i aftalen med fremgår, at hospitalet skulle sende dem CPR-numre på patienterne, men at hospitalet ikke sendte denne oplysning, men tildelte hver enkelt patient et løbenummer.

Endelig har Sygehus 1 oplyst, at patienterne blev informeret omkring videregivelsen af oplysninger til analyseinstituttet ved plakater, der var ophængt på hospitalet, og at patienterne ikke blev direkte informeret af hospitalets ansatte.

Sygehus 1 har til sin udtalelse som nævnt vedlagt bilaget ”Anmeldelse af behandling af data” version 1.6.2012, hvoraf det blandt andet fremgår, at databehandlingen er omfattet af Region s paraplyanmeldelse vedrørende sundhedsvidenskabelig forskning (felt nr. 2). Formålet med monitoreringen er, at: ”dokumentere hvordan den patientoplevede kvalitet udvikler sig i takt med sygehus 1 og sygehus 2s øgede fokus på området”, og at: ”give afdelingerne incitament til forbedringer gennem synliggørelse af afdelingens egne resultater over tid og resultater på hospitalsniveau” (felt nr. 4).

Videre fremgår det af bilaget, at Region , (i dag ), var ansvarlig for behandlingen af data (felt nr. 5 og 9), at endvidere bidrog til behandlingen af data (felt nr. 14), og at oplysningerne blev opbevaret hos og (felt nr. 15). Ydermere fremgår det, at blandt andet skulle med i dataanmeldelsen for halvårlig monitorering af kvalitetsmål, som skulle udføre telefonsurvey for (felt nr. 15).

Endelig fremgår det af bilaget at behandlingen af data ikke kræver en særlig godkendelse fra Videnskabsetisk Komité, Sundhedsstyrelsen (i dag Styrelsen for Patientsikkerhed) eller Datatilsynet (felt nr. 20), og at følgende oplysninger var anvendt til at vælge/kontakte deltagerne i undersøgelsen: kontaktoplysninger (navn, adresse, by, telefonnummer, e-mail adresse), køn, alder, civilstand, uddannelse, ansættelsessted (offentlig/privat/selvstændig/uden beskæftigelse), CPR-nr., Region, Sygehusnavn, afdelingskode (tre cifre), afdelingsnavn og bopælskommune (kode) (felt nr. 18).

Styrelsen har bemærket, at det ikke fremgår af sagens oplysninger, hvorfor Region ikke fandt det nødvendigt at anmelde databehandlingen til andre myndigheder.

Videre har Sygehus 1 vedlagt en kopi af aftalen mellem Region , , og vedrørende halvårlig monitorering af kvalitetsmål, herunder sikkerhedsforanstaltninger i medfør af § 42, stk. 2, jf. § 41, stk. 3-5 i lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer (Persondataloven). Aftalen er underskrevet den 15. juli 2013. Endelig er der vedlagt filen ”Dokumentation af sikkerhed i forbindelse med databehandling”, som regulerer, hvem i , der har adgang til data.

Begrundelse for afgørelse af klagen

Styrelsen har på baggrund af ovenstående sagsfremstilling lagt til grund, at Sygehus 1 videregav oplysninger om s behandling på afdeling , Sygehus 1, den 5. februar 2014 til analyseinstituttet . Der blev videregivet oplysninger om sygehusnavn, afdelingsnavn, kontakttype, kontaktdato og patientens alder, navn samt bopæl. Hospitalet videregav ikke oplysninger om CPR-nr.

Videre har styrelsen lagt til grund, at Sygehus 1 anså videregivelsen som et led i sundhedsvidenskabelig forskning.

Styrelsen kan oplyse, at reglerne om tavshedspligt og indhentelse og videregivelse af oplysninger er fastsat i sundhedslovens kapitel 9, der finder anvendelse i de tilfælde, hvor patienter inden for sundhedsvæsenet eller andre steder, hvor der udføres sundhedsfaglig virksomhed, modtager eller har modtaget behandling af sundhedspersoner, medmindre andet særligt er fastsat i lovgivningen.

Tavshedspligt og fortrolighed er to grundlæggende principper i dansk sundhedsret. Tavshedspligten er udgangspunktet for behandlingen af oplysninger inden for sundhedsvæsenet.

Tavshedspligten følger af sundhedslovens § 40, hvorefter en patient har krav på, at sundhedspersoner iagttager tavshed om, hvad de under udøvelsen af deres erhverv erfarer eller får formodning om angående helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger.

Videre kan styrelsen oplyse, at det fremgår af Sundhedsstyrelsens vejledning nr. 161 af 16. september 1998 om information og samtykke og om videregivelse af helbredsoplysninger mv., at helbredsforhold skal forstås som oplysninger om en patients tidligere, nuværende og fremtidige fysiske og psykiske tilstand, herunder om en persons kontakt med sundhedsvæsenet, for eksempel at en person har været indlagt til behandling eller er indlagt.

Det er herefter styrelsens vurdering, at oplysningen om, at havde været til undersøgelse på afdeling , Sygehus 1, den 5. februar 2014, er en fortrolig oplysning i sundhedslovens forstand.

Det fremgår af sundhedslovens § 43, stk. 1, at oplysninger kan videregives til andre formål end behandling til myndigheder, organisationer og private personer, når patienten har givet sit samtykke hertil. Samtykket skal være skriftligt, hvilket følger af § 44, stk. 1. Kravet om skriftlighed kan dog fraviges, når sagens karakter eller omstændighederne i øvrigt taler derfor. Samtykket skal indføres i patientjournalen.

Det er styrelsens vurdering, at det er utvivlsomt, at ikke gav sit udtrykkelige samtykke – hverken skriftligt eller mundtligt - til, at Sygehus 1 måtte videregives oplysninger om hendes konsultation på afdeling , Sygehus 1, den 5. februar 2014.

Styrelsen har lagt vægt på, at Sygehus 1 til sagen har oplyst, at der ikke fremgår noget omkring videregivelse af oplysninger til analyseinstituttet i s journal.

Videre har styrelsen lagt vægt på, at Sygehus 1 har oplyst, at patienterne blev informeret om videregivelsen af oplysninger til analyseinstituttet ved ophængte plakater på hospitalet, og at patienterne ikke blev informeret af hospitalets ansatte.

Det er styrelsens opfattelse, at de ophængte plakater på Sygehus 1, ikke var tilstrækkeligt til, at der var givet et samtykke til, at der kunne videregives oplysninger til analyseinstituttet.

Styrelsen kan oplyse, at der i henhold til sundhedslovens § 43, stk. 2, under visse betingelser uden patientens samtykke kan videregives oplysninger til myndigheder, organisationer og private personer. Det fremgår af sundhedslovens § 43, stk. 3, at den sundhedsperson, der er i besiddelse af en fortrolig oplysning, afgør, hvorvidt videregivelse efter bestemmelsens stk. 2 er berettiget.

Det fremgår således af § 43, stk. 2, nr. 1, at videregivelsen kan ske, når det følger af lov eller bestemmelser fastsat i henhold til lov, at oplysningen skal videregives og oplysningen må antages at have væsentlig betydning for den modtagende myndigheds sagsbehandling.

Styrelsen kan i den forbindelse oplyse, at et hospital efter reglerne i sundhedslovens §§ 46 og 47 kan videregive oplysninger til forskning, statistik og planlægning, uden patientens samtykke. Det følger af § 46, stk. 1, at oplysninger om helbredsforhold og andre fortrolige oplysninger kan videregives til brug for et konkret sundhedsvidenskabeligt forskningsprojekt, der har tilladelse af en videnskabsetisk komite efter lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter. Ifølge § 46, stk. 2, kan der videregives oplysninger til en forsker til brug for konkrete forskningsprojekter, der ikke har tilladelse fra en videnskabsetisk komite, men efter godkendelse af Styrelsen for Patientsikkerhed (på dagældende tidspunkt Sundhedsstyrelsen). Af § 47, stk. 1, fremgår det, at oplysninger som nævnt i § 46 kan videregives til brug for statistik eller planlægning efter godkendelse af Styrelsen for Patientsikkerhed, som fastsætter vilkår for oplysningernes anvendelse. Videregivelse af de i stk. 1 nævnte oplysninger kan dog ske uden godkendelse af Styrelsen for Patientsikkerhed, når det følger af lov, at oplysningerne skal videregives.

Det er styrelsens vurdering, at Sygehus 1 ikke havde hjemmel i sundhedslovens §§ 46 og 47 til at videregive oplysninger til analyseinstituttet, idet der ikke var tale om videregivelse til forskning, statistik og planlægning.

Styrelsen har i den forbindelse lagt vægt på, at det fremgår af § 14, stk. 1, i lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter, at ethvert sundhedsvidenskabeligt forskningsprojekt skal anmeldes til det videnskabsetiske komitésystem, jf. dog stk. 2-5.

Endvidere har styrelsen lagt vægt på, at det fremgår af ”Anmeldelse af behandling af data”, version 1.6.2012, at behandlingen af data ikke krævede en særlig godkendelse fra blandt andet Videnskabsetisk Komité eller Sundhedsstyrelsen (i dag Styrelsen for Patientsikkerhed).

Videre har styrelsen lagt vægt på, at formålet med datamonitoreringen var kvalitetssikring af serviceniveauet på afdelingen, og at det således ikke var et egentligt forskningsprojekt, hvis formål var systematisk indsamling af viden om en sygdoms opståen, forebyggelse, diagnostik og behandling, som defineret i § 2, nr. 1, i lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter.

Endvidere har styrelsen lagt vægt på, at videregivelsen ikke var til brug for statistik eller planlægning.

Endeligt bemærker styrelsen, at det af § 14, stk. 2, i lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter fremgår, at blandt andet spørgeskemaundersøgelser kun skal anmeldes til det videnskabsetiske komitésystem, såfremt projektet omfatter menneskeligt biologisk materiale. 

Styrelsen henviser i den forbindelse til ”Fortrolighed i sundhedsretten – et patientretligt perspektiv”, Mette Hartlev, Forlaget Thomsen, 1. udgave, 2005, hvoraf fremgår, at selvom kravet om informeret samtykke i forbindelse med interview- og spørgeskemaundersøgelser ikke følger direkte af lovgivningen, kan man med baggrund i et grundlæggende autonomiprincip og almindelige forskningsetiske principper argumentere for, at forsøgspersonens informerede samtykke skal indhentes. Det forekommer ikke acceptabelt at foretage spørgeskemaundersøgelser uden at informere deltagerne om det reelle formål med undersøgelsen. Dette ville være udtryk for manglende respekt for deltagernes autonomi, værdighed og integritet.

Styrelsen kan ydermere oplyse, at videregivelse af oplysninger uden patientens samtykke også kan ske efter sundhedslovens § 43, stk. 2, nr. 2, når videregivelsen er nødvendig til berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten, sundhedspersonen eller andre. Det fremgår videre af bestemmelsens stk. 4, at såfremt der videregives oplysninger efter stk. 2, nr. 2, skal den, oplysningen angår, snarest muligt herefter orienteres om videregivelsen og formålet hermed. Det er ifølge lovbemærkningerne og vejledningen en forudsætning for videregivelse af oplysninger uden samtykke i de pågældende tilfælde, at sundhedspersonen ikke videregiver oplysninger i et videre omfang, end det er påkrævet efter formålet.

Styrelsen kan hertil oplyse, at det fremgår af ovennævnte vejledning, at reglen er en såkaldt værdispringsregel, hvorved forstås, at de hensyn, der begrunder videregivelse til andre formål end behandling, klart skal overstige hensynet til patientens ret til fortrolighed.

Styrelsen kan endvidere oplyse, at det fremgår af vejledning nr. 161 af 16. september 1998 om information og samtykke og om videregivelse af helbredsoplysninger mv., at bestemmelsen vil kunne finde anvendelse i forbindelse med videregivelse af oplysninger til politi og anklagemyndighed, således, at videregivelse af oplysninger blandt andet vil være, såfremt der er tale om efterforskning af alvorlig kriminalitet som manddrab, seksualforbrydelse, grovere vold mv., herunder vold mod børn. Endvidere kan der ske videregivelse uden samtykke, når en patient eller andre under opholdet på et sygehus begår et strafbart forhold, eller der opstår mistanke herom. Der kan være tale om for eksempel tyveri, hærværk og besiddelse af euforiserede stoffer. I sådanne tilfælde kan en sundhedsperson indgive anmeldelse til politiet, uanset kriminalitetens art og grovhed.

Det er styrelsens vurdering, at videregivelse af oplysninger til andre formål end behandling, herunder patientoplysninger til et analyseinstitut, ikke i den konkrete situation kunne ske under henvisning til en berettiget varetagelse af en åbenbar almen interesse. Det er videre styrelsens vurdering, at videregivelsen ej heller kunne ske af væsentligt hensyn til patienten eller andre.

Det er herefter styrelsens vurdering, at det ikke var berettiget, at Sygehus 1 gav oplysninger til et analyseinstitut om, at havde haft kontakt til afdeling den 5. februar 2014.

På denne baggrund finder styrelsen, at afdeling , Sygehus 1, har handlet i strid med sundhedsloven ved videregivelsen af oplysninger til et analyseinstitut om .

Lovgrundlag

Bekendtgørelse nr. 1188 af 24. september 2016 af sundhedsloven:

§ 40. En patient har krav på, at sundhedspersoner iagttager tavshed om, hvad de under udøvelsen af deres erhverv erfarer eller får formodning om angående helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger, jf. dog reglerne i dette kapitel.

Stk. 2. Stk. 1 finder tilsvarende anvendelse for studerende, der som led i en sundhedsvidenskabelig eller sundhedsfaglig uddannelse deltager i behandlingen af en patient uden at være medhjælp.

Stk. 3. I de tilfælde, hvor en sundhedsperson efter §§ 41-46 er tillagt beføjelser efter de enkelte bestemmelser, påhviler det overordnede ansvar for, at oplysninger videregives eller indhentes i overensstemmelse med loven, den driftsansvarlige myndighed.

§ 43. Med patientens samtykke kan sundhedspersoner til andre formål end behandling videregive oplysninger om patientens helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger til sundhedspersoner, myndigheder, organisationer, private personer m.fl.

Stk. 2. Videregivelse af de i stk. 1 nævnte oplysninger kan uden patientens samtykke ske, når

1) det følger af lov eller bestemmelser fastsat i henhold til lov, at oplysningen skal videregives og oplysningen må antages at have væsentlig betydning for den modtagende myndigheds sagsbehandling,

2) videregivelsen er nødvendig for berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten, sundhedspersonen eller andre eller

3) videregivelsen er nødvendig for, at en myndighed kan gennemføre tilsyns- og kontrolopgaver.

Stk. 3. Den sundhedsperson, der er i besiddelse af en fortrolig oplysning, afgør, hvorvidt videregivelse efter stk. 2 er berettiget.

Stk. 4. Såfremt der videregives oplysninger efter stk. 2, nr. 2, skal den, oplysningen angår, snarest muligt herefter orienteres om videregivelsen og formålet hermed, medmindre orientering kan udelades efter anden lovgivning eller af hensyn til offentlige eller private interesser svarende til dem, der beskyttes i denne lovgivning.

§ 44. Samtykke efter § 43, stk. 1, skal være skriftligt. Kravet om skriftlighed kan dog fraviges, når sagens karakter eller omstændighederne i øvrigt taler derfor. Samtykket skal indføres i patientjournalen.

Stk. 2. Samtykke efter stk. 1 bortfalder senest 1 år efter, at det er givet.

Stk. 3. Sundheds- og ældreministeren fastsætter nærmere regler om det i stk. 1 nævnte samtykke.

Bekendtgørelse nr. 24 af 21. januar 2009 af lov om klage- og erstatningsadgang inden for sundhedsvæsenet, som ændret ved lov nr. 706 af 25. juni 2010 og lov nr. 656 af 8. juni 2016:

§ 1. Styrelsen for Patientsikkerhed, jf. §§ 11 og 12, behandler klager fra patienter over sundhedsvæsenets sundhedsfaglige virksomhed og forhold omfattet af sundhedslovens kapitel 4-9 med undtagelse af klager, hvor der i den øvrige lovgivning er foreskrevet en anden klageadgang. Styrelsen for Patientsikkerhed kan ikke behandle en klage efter 1. pkt., hvis den faglige virksomhed eller det forhold, klagen vedrører, helt eller delvis er omfattet af en klage efter § 2.

Stk. 2. Styrelsen for Patientsikkerhed træffer i sager efter stk. 1 afgørelse om, hvorvidt den sundhedsfaglige virksomhed har været kritisabel, eller om sundhedsvæsenet har handlet i strid med sundhedslovens kapitel 4-9 og afsnit IV.