Ingen passord for bytte av fastlege

Ingen passord for bytte av fastlege

Datatilsynet pålegger Helsedirektoratet å utbedre nettjenesten Minfastlege før nyttår.

Datatilsynet har kommet med rungende kritikk av nettjenesten Minfastlege, de mener tjenesten er usikker og fungerer dårlig. Helsedirektoratet, som har overtatt ansvaret for tjenesten, har bedt om mer tid, men Datatilsynet er nådeløse.

- Dette har vi påpekt allerede i 2007. Vi syns tidsbruken er i overkant. Nå har de fått en frist, sier Kim Ellertsen, direktør i juridisk avdeling i Datatilsynet.

Helsedirektoratet ønsker å bruke den eksisterende løsningen ut 2010, mens forbedringer fortløpende innføres. Det er alt for lenge, ifølge DT.

I går sendte tilsynet et nytt brev til Helsedirektoratet, hvor de forklarer at nok er nok. Før slutten av året bør bytting av fastlege være plassert på en løsning med bedre autentisering, som for eksempel Minside.

Brukerløsning

For å logge seg på og endre fastlege trenger man i dag bare å opplyse fødselsnummer, postnummer og navn. Ingen passord. Dermed finnes det en risiko for at andre kan logge seg på din bruker og endre din fastlege. Tilsynet vet om eksempler på misbruk av denne typen.

Det finnes også ondsinnet programvare som tester ulike variabler opp mot hverandre og til slutt klarer å knytte fødselsnummer til riktig person.

Datatilsynet har mottatt en rekke klager på nettsiden. I et tilfelle fikk en person endret sin fastlege til en helt annen del av landet. Samme person ventet på prøvesvar, men disse nådde ikke frem til den ansvarlige fastlegen. Når den uautoriserte endringen ble oppdaget, var fastlegens liste full, og det ble umulig for pasienten å returnere til fastlegen.

Lite tilfredsstillende

Når det også kun er mulig å bytte fastlege to ganger i året, kan det oppstå uheldige situasjoner, når noen opplever at andre logger seg inn og endrer fastlege i ditt navn.

- Fastlegebytting kan gjøres gjennom Minside, som er bedre sikret. Nå har de fått nok tid, sier Ellertsen.

Undervurderer Helsedirektoratet sikkerhetsrisikoen i løsningen?

- Minfastlege har en høy sikkerhetsrisiko, selv om konsekvensene av misbruk ikke er like stor som i noen andre systemer. Men vi mener det er på plass å avvikle den fortest mulig.

Datatilsynet mener at sikkerhetskravene i personopplysningsloven ikke blir fulgt og krever at helsedirektoratet styrker autentiseringen på Minfastlege. Fristen for dette er 31. desember 2009, men direktoratet har også mulighet til å klage på vedtaket innen tre uker.

Helsedirektoratet har mulighet å anke vedtaket til Personvernkommisjonen innen tre uker, men har ikke tatt stilling til DTs nye pålegg ennå.

- Vi har ikke fått brevet formelt, og har ikke rukket å se på det. Vi tar selvfølgelig tilbakemeldingen fra datatilsynet seriøst, men hvordan vi legger opp løpet ut over høsten kan vi ikke svare på nå. Så om vi kommer til føre saken videre, kan ikke vi si noe om nå, sier Steinar Mathisen, avdelingsdirektør Helsedirektoratet.

Les mer om saken, med pålegget fra Datatilsynet, her.

IT-Helse