Indianere som syndebukker

På papiret skal det ikke skje at 34 IT-teknikere får tilgang til pasientdata på 2,8 millioner mennesker. De er ikke dumme i Sykehuspartner. De har laget avtaler om at dette ikke skal skje. Likevel skjedde det – fordi IT er komplisert, mennesker er mennesker og feil oppstår. Om IT- eksperter i Bulgaria og Malaysia har vært inne og kikket på dataene, vet vi ikke. Poenget er at de har hatt muligheten til det.

Kontroll- og konstitusjonskomiteen er er opptatt av å finne ut om helseminister Bent Høie kan klandres for noe av det som har skjedd. Det kan han for så vidt. For han har gitt uriktige opplysninger til Stortinget. Det kan han imidlertid ikke noe for, for han han fått opplysningene fra Helse Sør Øst. Administrerende direktør i selskapet Cathrine Lofthus gikk videre med informasjon hun har fått fra sine underordnede som viste seg ikke å være riktig. Det har skjedd flere ganger. Slik blir det gjerne nå en ber om å bli informert uten at det er tid til å gå til bunns i saken. Helse Sør-Øst tauer i mai inn analytikere fra PWC for å komme til bunns i saken. De leverte en rapport i løpet av noen uker som gav en rimelig god oversikt over det som har skjedd.

Hvem har ansvar?

Men hvem har ansvar for hva? Det er fortsatt ei stor suppe. Kontrollkomitéen lurer på om ikke helseministeren burde grepet inn tidligere. Bent Høie kan med god grunn spørre om styreleder og direktør i Helse Sør Øst, Ann-Kristin Olsen og Cathrine Lofthus, har god nok kontroll på det de driver med. De to mener de har funnet ut hvor hunden ligger begravet. Problemet er Sykehuspartner. Det er de som har sviktet. For to uker siden fikk hele styret sparken. På slutten av forrige uke fikk direktør Marianne Hornnes avskjed på grått papir. Men hun kan umulig ha rukket å gjøre mye galt, for hun har kun vært i jobben et halvt år. Når et styre først skal si opp daglig leder, må slike som Hornnes være en drøm: «Dagens IKT-infrastruktur i Helse Sør-Øst må moderniseres. Nå som dette arbeidet skal revurderes, synes jeg det er riktig at noen andre kommer inn for å se på dette med nye øyne. Styret og jeg har derfor kommet til enighet om at jeg fratrer som administrerende direktør i Sykehuspartner», sier Hornnes i en pressemelding.

Den første i Sykehuspartner som trakk seg, var styreleder Thomas Bagly. Han var riktignok teknologidirektør i Helse Sør-Øst. Det viser hvor tett knyttet Sykehuspartner er til Helse Sør-Øst.

I brevet som helseminister Bent Høie har sendt til Kontrollkomiteen, er han opptatt av å forklare hva departementet har ansvaret for, hva som ligger til eieren og hvilket ansvar styret og ledelsen i Sykehuspartner har. Høie skriver selvsagt ikke noe om at de har funnet noen passende syndebukker. Han minner strengt saklig om at «det har skjedd endinger både i ledelsen i Helse Sør-Øst, i Sykehuspartner og i styret i Sykehuspartner». Høie skriver heller ikke at «det burde holde», men det er nok det han mener.

Bjella kan ikke henges på en eller flere personer i denne saken. Når hele ledelsen i Sykehuspartner må gå, er det fordi ledelsen i Helse Sør-Øst vil vise handlekraft, de vil markere alvoret i saken ved at noen må trekke seg og mener de er best tjent med at nye koster overtar. Det er riktignok en velbrukt kost som styrer Sykehuspartner i det daglige nå. Tidligere direktør for virksomhetsoppfølging i Sykehuspartner er konstituert i stillingen i en tid hvor det haster med å finne veien videre. Det hadde vært bedre å beholde Marianne Hornnes, men behovet for syndebukker måtte også dekkes.

Hvem har nå ansvaret for hva som skal skje med pasientdataene framover? Skal de iverksette avtalen om fortsatt å outsource drift av pasientdataene eller skal man bryte avtalen? Eksperter på IT-sikkerhet som Computerworld har snakket med sier det er umulig å sikre seg 100 prosent mot at pasientdata kommer på avveie. Ekspertene viser til at man gjerne kan avtale at man ikke har tilgang, men hvis en først har fullmakter som administrator kan en ta seg inn og dekke spor.

I debatten som har gått i vår har ansatte tatt til orde for at pasientdata ikke bør føres ut av landet. Det øret har ikke Helse Sør-Øst hørt på. Når man først vil outsource en tjeneste, kan alle selskaper innen EU/EØS få oppdraget. Oppdraget kan ikke forbeholdes norske selskaper.

Outsourcing

Regjeringen har ingen ting i mot outsourcing. Helse Sør-Øst er opptatt av hva som er best og billigst. I realiteten er de villige til å ta risikoen med at utlendinger kan få tilgang til pasientdata. Styret i Sykehuspartner eller andre i foretaket kan ikke lage avtaler som hindrer at dette kan skje.

Det er ikke lenge siden NRK avslørte at IT- ansatte i India hadde tilgang til det norske nødnettet fordi deler av infrastrukturen det bygger på driftes fra India. På papiret skulle ikke det kunne skje.

Spørsmålet er om vi skal ta risikoen eller betale hva det koster å holde dataene i eget hus. Det er ikke et spørsmål Sykehuspartner skal svare på, ikke Helse Sør-Øst heller. Det er et politisk spørsmål.

I dag kom meldingen om at innkjøp til sykehusene skal gjøres i et felles foretak. Det er på tide. Vi bør velge samme modell for pasientdata. Holde de i Norge og et selskap drifter dette for alle sykehusene. Dette er deinitivt en sak for høvdingene i norsk helsevesen.