Veileder for bruk av video, lyd og bilde

1. Innledning

1.1 Bakgrunn

Video, lyd og bilde brukes i stadig økende grad i helse- og omsorgssektoren.

Det kan være aktuelt i en rekke sammenhenger, blant annet i forbindelse med pasientbehandling, dokumentasjon, opplæring, undervisning, veiledning, kvalitetssikring og forskning.

Bruken av video, lyd og bilde bidrar til forbedret diagnostikk, effektiv samhandling mellom involvert personell og at beste praksis, både med tanke på kliniske prosedyrer og i opplæringssammenheng, blir dokumentert. Resultatet blir økt pasientsikkerhet og bedre kvalitet på tjenestene.

Personopplysningsloven sier at alle opplysninger som (direkte eller indirekte) identifiserer en person er personopplysninger. Det innebærer at ved bruk av video, lyd og bilde hvor den enkelte kan gjenkjennes, skal disse mediene håndteres i samsvar med reglene for behandling av personopplysninger. Dette inkluderer blant annet bilder, lydopptak, videoopptak, stillbilder fra video, timebestillingen tilknyttet videoen, nettadressen dersom denne er til et privat videorom og adressen inneholder personopplysninger, logger, osv. Helseregisterloven, helsepersonelloven og pasient- og brukerrettighetsloven har særlige regler for behandling av helseopplysninger. Når det gjelder bruk av helseopplysninger i forskningssammenheng, finnes det egne regler i helseforskningsloven.

Bruk av video, lyd og bilde vil kunne frembringe mer informasjon om den enkelte enn hva som er mulig ved muntlig eller skriftlig kommunikasjon, da det gir et rikere bilde. Avhengig av type situasjon og hvilken informasjon som deles kan slik informasjon også kunne oppleves mer belastende. Det vil også kunne være mer arbeidskrevende for virksomheten å benytte video, lyd og bilde, ettersom det krever særskilte systemer, rutiner og kompetanse. Dette vil være tema for store deler av veilederen.

Personvernet skal ivaretas for alle grupper i helse- og omsorgssektoren, blant annet pasienten selv, ansatte og pårørende. Det er derfor viktig å være bevisst på utfordringer knyttet til personvern og informasjonssikkerhet ved bruk av video, lyd og bilde.

1.2 Om veilederen

Veilederen skal bidra til at bruk av video, lyd og bilde skjer i samsvar med gjeldende krav til personvern og informasjonssikkerhet. Veilederen skal også være et praktisk hjelpemiddel når virksomhetene benytter video, lyd og bilde.

Veilederen omtaler grunnregler og hovedprinsipper for bruk av video, lyd og bilde. Disse retter seg mot alle virksomheter i helse- og omsorgssektoren som skal ta dem i bruk. Helselovgivningens alminnelige regler for behandling av helse- og personopplysninger gjelder også ved bruk av video, lyd og bilde. I tillegg kommer særlige personvernutfordringer knyttet til bruk av video, lyd og bilde.

Veilederen har søkelys på bruk av video, lyd og bilde i forbindelse med

• ytelse av helsehjelp
• veiledning og opplæring
• kvalitetssikring

Kapittel 2 inneholder sentrale krav i Normen for bruk av video, lyd og bilde. Disse gjelder for alle de tre ovennevnte temaene og vil være relevante for alle disse fagområdene. Det samme gjelder kapittel 3 om risiko. Kapittel 4, 5 og 6 tar for seg den særlige risikoen for den enkelte kategori.

Bruk av video vil fremheves gjennom veilederen, da det er det som representerer høyest risiko for de registrerte. Imidlertid gjelder de generelle vurderingene i veilederen, samt kravene til personvern og sikkerhet, også for bruk av både lyd og bilde. Kapittel 3.1 behandler risiko ved bruk av lyd og bilde spesielt.

1.2.1 Avgrensninger

Veilederen gir praktiske råd om konkrete problemstillinger innenfor de ulike feltene, men ikke svar på alle spørsmål som kan dukke opp i praksis.

Når anbefalingene i veilederen tas i bruk i virksomheten, må de tilpasses med utgangspunkt i virksomhetens konkrete behov og oppgaver, så lenge personvern- og informasjonssikkerhetsreglene etterleves. 

Veilederen omhandler personvern og informasjonssikkerhet ved bruk av video, lyd og bilde av pasienter, brukere og andre som direkte eller indirekte kan identifiseres. Hvis et individ ikke kan identifiseres gjennom bruken av video, lyd og/eller bilde, er de uten personopplysninger. Bruken i seg selv vil dermed ikke omfattes av personvernreglene. Filen vil imidlertid være omfattet av regelverket dersom det lagres sammen med personopplysninger om den enkelte, f.eks. i behandlingsrettede helseregistre.

Veilederen er avgrenset til å gi anbefalinger om informasjonssikkerhet og personvern ved bruk av video, lyd og bilde. Generelle krav til informasjonssikkerhet, for eksempel i tilknytning til intern organisering og etablering av styringssystem for informasjonssikkerhet, er ikke behandlet her. For krav og veiledning om dette, se Normen og annet veiledningsmateriell.

Videre vil det ikke beskrives i denne veilederen hvorvidt ulike typer bruk av video, lyd og bilde er hensiktsmessig for spesifikke grupper av pasienter/brukere eller i en spesifikk behandlingssituasjon. Dette anses å falle innunder hva som utgjør forsvarlig helsehjelp, og må vurderes av helsepersonell i hvert enkelt tilfelle.

Portaler og andre løsninger der man kan kommunisere ved bruk av tekstmeldinger og lignende behandles ikke i denne veilederen. Dette er omtalt i veileder i digital pasientkommunikasjon for helse- og omsorgssektoren.

Veilederen omhandler ikke bruksområder som allmenn videoovervåkning, bruk av sikkerhetskameraer eller bruk av varslings- og lokaliseringshjelpemidler.

Tema for veilederen er bruk av video, lyd og bilde som er initiert av helse- og omsorgstjenesten, og ikke pasienter/brukeres opptak som gjøres i møte med helsetjenesten. Se åpenhetsutvalgets NOU "Åpenhet i grenseland – Bilder, film og lydopptak i helse- og omsorgstjenesten, barneverket, skolen og barnehagen" for mer om disse problemstillingene.

Veilederen er ikke knyttet opp mot spesifikke leverandører eller produkter.

1.2.2 Forskning

Bruk av video, lyd og bilde er blitt etablerte metoder i forskning der samtaler og samspill mellom mennesker studeres. Dette er også tilfelle der samtalene dreier seg om sensitive personopplysninger, som f. eks opplysninger om helse. Den forrige versjonen av denne veilederen hadde et eget kapittel om forskning og bruk av video. Normen publiserer en ny veileder om forskning i 2021 og spesifikke problemstillinger knyttet til forskning vil bli behandlet der.

Det vil imidlertid være aktuelt å benytte de generelle delene av denne veilederen i forskningsprosjekter, da mange av de samme grunnreglene for bruk av video, lyd og bilde vil være gjeldende også innen forskning. Dette gjelder særlig elementer som skal inngå i en risikovurdering, samt organisatoriske og tekniske krav til informasjonssikkerhet.

Det er sentralt å ha klart for seg hva som er behandlingsgrunnlaget for helse- og personopplysningene. Hovedregelen ved medisinsk og helsefaglig forskning er at dette skal baseres på samtykke. Dette stiller høye krav til informasjonen til de registrerte, slik at de forstår hva de samtykker til og hvordan de kan få oppfylt sine personvernrettigheter.

Når formålet er oppfylt, og eventuelle opptak ikke lengre er nødvendige for den videre forskningen, skal disse slettes eller anonymiseres slik at de ikke lengre inneholder identifiserende opplysninger.

1.3 Om Normen

Denne veilederen er et støttedokument under Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren (Normen) som forvaltes av Styringsgruppen for Normen. Veilederen forvaltes etter Normens forvaltningsmodell.

Normen skal bidra til tilfredsstillende informasjonssikkerhet og personvern i den enkelte virksomhet og i sektoren generelt. I tillegg skal Normen bidra til å etablere mekanismer og regler som sikrer at kommuner og samarbeidende virksomheter i helse- og omsorgssektoren kan ha gjensidig tillit til at behandling av helse- og personopplysninger gjennomføres på et forsvarlig sikkerhetsnivå.

For en komplett oversikt over Normens krav og andre nyttige dokumenter, se mer via denne lenken: https://ehelse.no/normen/oversikt-over-normens-krav-og-mapping-mellom-iso-ognormen

En til enhver tid oppdatert versjon av veilederen finnes på www.normen.no. Dersom du har spørsmål knytte til veilederen kan du sende spørsmål og kommentarer til: sikkerhetsnormen@ehelse.no

2. Sentrale krav i Normen

Tillitsforholdet mellom pasienten/brukeren og helse- og omsorgstjenesten er avgjørende for å opprettholde den åpne kontakten som ofte er nødvendig for å kunne yte gode tjenester. Dette betyr at pasienten/brukeren må kunne ha tillit til at opplysningene behandles på en slik måte at personvernet blir godt ivaretatt.

Bruk av video, lyd og bilde kan skille seg fra muntlig og skriftlig informasjonsinnhenting ved at disse mediene kan frembringe mer (sensitiv) informasjon om den enkelte. Et videokamera vil kunne fange opp informasjon om pasienten/brukeren som ikke på samme måte vil oppfattes ved kun muntlig kommunikasjon, blant annet ved at det vil kunne utledes informasjon om omgivelser, kroppsbevegelser og ansiktsuttrykk. Slik vil denne teknologien kunne gi mer informasjon enn hva formålet skulle tilsi og i mange tilfeller kunne anses som mer inngripende.

Hvor sensitiv informasjonen som fremkommer på video, lyd og bilder er, samt hvor inngripende bruken anses for å være, vil kunne variere svært ut fra den konkrete situasjon pasienten/brukeren er i, og ut fra hvilke type medier som brukes.

Helsepersonell og andre ansatte i helse- og omsorgssektoren vil også kunne få sitt personvern utfordret ved bruk av video, lyd og bilde.

Tabellen som følger gir en oversikt over sentrale krav fra Normen for bruk av video, lyd og bilde, og hvordan disse kravene kan oppfylles i praksis. Merk at disse vil være relevante for alle typer bruk av video, lyd og bilde som beskrives i denne veilederen, og at de ulike spesifikke kapitlene som følger fra kapittel fire vil være et tillegg til disse felleskravene.

Direktoratet for e-helse har egne temasider om bruk av video i helse- og omsorgstjenesten. Du kan finne mer informasjon dette på direktoratets nettsider.

2.1 Behandlingsgrunnlag

Personopplysninger kan bare behandles når lovgivningen tillater det, som betyr at all behandling av personopplysninger skal ha et rettslig grunnlag. Det er flere alternative behandlingsgrunnlag i personvernforordningen. Noen av dem stiller krav om at behandlingen er lovlig som følge av annen lovgivning. Dette kalles supplerende rettsgrunnlag. Dokumentasjonsplikten i helsepersonelloven, og forsvarlighetskravet som nødvendiggjør dokumentasjonen, utgjør et slikt supplerende rettsgrunnlag for behandling av helseopplysninger om pasient, og er også gjeldende når behandlingen benytter seg av video, lyd og bilde. I tillegg til dokumentasjonsplikten og forsvarlighetskravet, inneholder helselovgivningen også regler om annen behandling av opplysninger, herunder taushetsplikt og bruk av opplysninger til intern og ekstern kvalitetssikring, forskning mv.

Samtykke for å motta helsehjelp er rettsgrunnlaget for ytelse av helse- og omsorgstjenester. Ved videokonsultasjon vil det ofte være et implisitt samtykke at pasienten ønsker å få helsehjelp da hun bestiller videokonsultasjon, tar i bruk løsningen og deltar i konsultasjonen. Helselovgivningen gir behandlingsgrunnlag for behandling av de opplysningene som er relevant og nødvendig for ytelse av helsehjelp, også via videokonsultasjon. Det er derfor ikke nødvendig med et eget samtykke for behandling av personopplysninger når videokonsultasjon brukes til å yte helsehjelp.

Les mer om krav til behandlingsgrunnlag se Normens kapittel 4.1. og formål og behandlingsgrunnlag  (faktaark 56). For mer om samtykke til helsehjelp i pasient- og brukerrettighetsloven med kommentarers kapittel 4, og om samtykke i henhold til personopplysningsloven på Datatilsynets nettsider.

2.2 Dokumentasjonsplikt

Den som yter helsehjelp plikter å nedtegne opplysninger som anses som relevante og nødvendige for helsehjelpen til den enkelte pasient/ bruker. Dette innebærer at video, lyd og bilde som er tatt i forbindelse med ytelse av helsehjelp skal inngå i journalen om de anses som relevante og nødvendige. Pasienten/brukeren kan ikke motsette seg dette. Dersom opptak av video, lyd og bilde ikke anses som relevant og nødvendig for helsehjelpen mv. skal det slettes. Helsepersonellet vil da ikke ha hjemmel for å oppbevare disse opplysningene.

Video, lyd og bilde kan inngå i journalen i sin opprinnelige form, for eksempel et røntgenbilde eller et videoopptak. Hvordan journalføringen rent praktisk skal skje (skanning av bilder, lagring av videofiler mv.), varierer fra fagsystem til fagsystem. Uredigert råmateriale fra video-, lyd- og bildeopptak inneholder ofte store mengder materiale som ikke er nødvendig og relevant som dokumentasjon. Materialet bør derfor kunne redigeres. Den del av opptaket som etter redigering ikke skal inngå i journal, må slettes.

Den journalføringspliktige kan også nedtegne den relevante og nødvendige informasjonen som utledes fra opptak eller overføringer av video og lyd samt bilder. Arbeidsdokumenter, pasientens egendokumentasjon, røntgenbilder, video- og lydopptak mv. er å anse som del av journalen inntil nødvendig informasjon er nedtegnet på forsvarlig måte. Det vil altså være hjemmel for å mellomlagre video, lyd og bilde. Dersom hele opptak anses som relevant og nødvendig kan det inngå i journalen i sin helhet.

Dokumentasjonsplikten gjelder på lik linje ved videokonsultasjoner som ved fysiske konsultasjoner ansikt-til-ansikt, og relevant og nødvendig informasjon som fremkommer i en videokonsultasjon skal journalføres etter samme føringer gitt i helselovgivningen. Typiske videokonsultasjoner gjennomføres som en direkteoverføring, i likhet med en fysisk konsultasjon eller telefonsamtale. Mer om dokumentasjonsplikten finner du i helsepersonelloven med kommentarer på Helsedirektoratets nettsider.

2.3 De registrertes rettigheter

Det følgende inneholder noen sentrale betraktninger om hvordan virksomheter kan oppfylle de registrertes rettigheter ved behandling av helse- og personopplysninger i video, lyd og bilde. Oversikten er imidlertid ikke uttømmende. Øvrig informasjon om de registrertes personvernrettigheter utover det som dekker video, lyd og bilde spesielt, finner du i Veileder om de registrertes rettigheter. Informasjon om pasientrettigheter generelt finner du i pasient- og brukerrettighetsloven med kommentarer på Helsedirektoratets nettsider.

2.3.1 Innsyn

Retten til innsyn i egne personopplysninger betyr at du kan spørre en virksomhet om hvordan opplysningene om deg behandles og du kan be om å få vite hvilke opplysninger de har lagret. Dette gjelder ikke bare skriftlig informasjon, innsynsretten vil også gjelde for helse- og personopplysninger som er lagret i form av video, lyd eller bilde.

2.3.2 Informasjon

Virksomhetene har plikt til å behandle personopplysninger på en åpen måte, også når det gjelder behandling gjennom video, lyd og bilde. Dette innebærer at virksomheten må gi kort og forståelig informasjon om hvordan de behandler personopplysningene. Det er også krav til hvordan de kommuniserer med enkeltpersoner.

Ettersom bruk av video, lyd og bilde kan gi særskilt rike bilder av en pasient/bruker og eventuelle situasjoner denne befinner seg i, kan det potensielt oppleves inngripende. Det er derfor særlig viktig at den registrerte er klar over hvordan helse- og personopplysningene behandles, og hvilken risiko det eventuelt kan medføre.

Et relevant eksempel på et tilfelle som krever mer informasjon er situasjoner som bryter med det man rimelig kan forvente er pasient/brukers forventning. Den etablerte forventningen er at for eksempel videokonsultasjoner, i likhet med en fysisk konsultasjon hos din fastlege, innebærer en direkte forbindelse uten opptak. Dersom en situasjon bryter med denne forventningen vil dette kreve økt informasjon (og virksomheten må sørge for gyldig behandlingsgrunnlag for opptaket).

2.3.3 Rett til medvirkning og rett til informasjon (pasient- og brukerrettighet)

Rett til medvirkning og informasjon er grunnleggende pasient- og brukerrettigheter.

Pasient eller bruker som mottar helse- og omsorgstjenester har rett til å medvirke ved gjennomføringen. Man har rett til å medvirke ved valg av tilgjengelige og forsvarlige tjenestemetoder og undersøkelses- og behandlingsmetoder. Dette innebærer imidlertid ikke at pasienten eller brukeren gis rett til å velge hvilken metode som skal benyttes dersom helsepersonellet mener en annen metode er bedre egnet eller mer forsvarlig. Her kan man tenke seg at pasient/ bruker i noen tilfeller vil kunne velge, eventuelt velge bort, at video, lyd og bilde benyttes. Det kan for eksempel være noen pasienter/ brukere som opplever det utrygt å bruke video. Det vil da være en del av den helsefaglige vurderingen som behandlende helsepersonell må gjennomføre, å vurdere hvorvidt det er bruk av video som er forsvarlig helsehjelp i dette tilfellet.

Retten til å medvirke øker kravene til informasjon fra det behandlende helsepersonellet, fordi informasjon er en nødvendig forutsetning for både å kunne utøve medvirkningsretten og for å kunne gi gyldig samtykke til helsehjelp. Enkle og forståelige forklaringer av formål, behandling og potensielle konsekvenser av bruk av video, lyd og bilde i helse- og omsorgstjenesten er sentralt for å kunne oppfylle pasient- og brukerrettigheter så vel som personvernrettighetene. Opplevd risiko fra pasient- og brukersiden vil kunne reduseres ved at helsepersonell bidrar med tilstrekkelig og tilpasset informasjon om hvordan video benyttes.

2.3.4 Personvern for ansatte

Personvernet til de ansatte kan utfordres gjennom bruken av video, lyd og bilde i helse- og omsorgssektoren. Ansatte i helse- og omsorgssektoren har rett på et arbeidsliv som ikke krenker deres personlige integritet eller rett til privatliv. Arbeidsmiljøloven pålegger arbeidsgivere å sørge for at de ansatte har et forsvarlig arbeidsmiljø. Åpenhetsutvalget vurderte i 2019 hva som ligger i retten til forsvarlig arbeidsmiljø, og hvor langt dette hensynet kan begrunne begrensninger i annen aktivitet i helse og omsorg. Utvalget fokuserte hovedsakelig på bruk av video, lyd og bilde som er initiert av brukere og pasienter.

Åpenhetsutvalget beskriver blant annet at ved bruk av video, lyd og bilde plikter arbeidsgiver å legge til rette for at bruken skal utgjøre en minst mulig belastning for de ansatte i deres arbeidshverdag. Det innebærer at arbeidsgiver må iverksette ulike former for tiltak på arbeidsplassen for å sikre at de ansatte i mest mulig grad er komfortable med bruken av video, lyd og bilde.

Som et minimum vil dette si at virksomhetene må etablere rutiner for å håndtere det personalmessige rundt de ansattes personvern og bruk av video, lyd og bilde i tjenesten. Det må være en del av virksomhetens styringssystem/internkontroll, og inkluderes i personalhåndbok eller lignende, samt at de ansatte må settes i stand til å ivareta sine personvernrettigheter. De ansatte må kunne forvente at denne typen problemstillinger inkluderes i diskusjoner i arbeidsmiljøutvalg og lignende også i helse- og omsorgssektoren. Et eksempel på denne typen avklaringer som bør beskrives tydelig i personalhåndbok er at eventuelle opptak av behandlingssituasjoner ikke skal brukes til personalformål uten at dette er et definert formål med opptaket. Det vil si at opptak av en terapisituasjon ikke fritt skal kunne benyttes av ledelsen for å evaluere medarbeider og dennes måloppnåelse.

Andre tiltak som anbefales:

• • Arbeidsgiver går i dialog med de ansatte eller innhenter informasjon på annet vis, for eksempel gjennom undersøkelser, for å avdekke de ansattes behov
  • Opplæring til ansatte om rettslige grenser, gode praktiske løsninger og samtaletrening
  • Informasjon til pasienter/ brukere om å vise hensyn og at de må be om samtykke før deling og publisering

Les mer om disse vurderingene i Åpenhetsutvalgets NOU Åpenhet i grenseland på regjeringens nettsider. Mer om bruk av sosiale medier i helse- og omsorgssektoren finnes i Veileder om digital pasientkommunikasjon.

2.4 Taushetsplikten

Personell som behandler helse- og personopplysninger i helse- og omsorgssektoren vil være underlagt regler om taushetsplikt. Dette bidrar til at den registrerte kan være trygg på at informasjonen ikke blir gitt videre til uvedkommende. Taushetsplikten gjelder også for personopplysninger som fremkommer av video, lyd og bilde.

Virksomheten skal legge til rette for at alle medarbeidere til enhver tid er bevisst taushetspliktens innhold og omfang. Virksomheten skal sørge for praktiske løsninger, inkludert teknologiske, som gjør at taushetsplikten kan etterleves av medarbeiderne. Dette innebærer blant annet rutiner for å sikre identiteten til den enkelte som deltar i en videokonsultasjon, og det å benytte videoløsninger med tilstrekkelig kryptering av informasjonen. Denne typen tiltak beskrives i mer detaljer i tabellene med beskrivelser av Normens krav.

Les mer om taushetsplikten generelt på temasidene for taushetsplikt og opplysningsplikt på Helsedirektoratets nettsider.

2.5 Rutiner

Virksomheter i helse- og omsorgssektoren som skal benytte video, lyd og bilde må etablere rutiner for bruk og drift av løsningene. Tabellen nedenfor er et forslag til hvilket innhold overordnede rutiner virksomheter i sektoren bør ha. Dette kan være et utgangspunkt for tilpassede rutiner for egen virksomhet og valgt løsning.

3. Risiko og personvernkonsekvenser

All behandling av helse- og personopplysninger skal risikovurderes. Det er risikovurderingen som ligger til grunn for alle de videre vurderingene og beslutningene; blant annet om man vil ta i bruk en løsning, hvordan behandlingen av opplysningene skal foregå, hvilke tiltak som skal iverksettes, teknisk oppsett av teknologien, hvordan teknologien ivaretar personvernet og informasjonssikkerheten osv.

Alle løsninger som behandler helse- og personopplysninger gjennom video, lyd og bilde skal ha egnede tekniske og organisatoriske sikkerhetstiltak for å hindre brudd på sikkerheten. Brudd defineres som utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger. Valg av egnede sikkerhetstiltak skal gjøres på bakgrunn av omfang og kategorier av opplysningene, pasientsikkerhet, aktuelt risikobilde mv. Tiltakene skal velges basert på risikovurderinger, og være forholdsmessige ut fra identifisert risiko.

Det er hensiktsmessig å benytte virksomhetens egen mal for risikovurdering, slik at man har mulighet til å aggregere opp ulike typer risiko for virksomhetens ledelse. Se ellers Normens veileder om risikostyring i informasjonssikkerhet og personvern for mal.

Ved behandling av helse- og personopplysninger vil det også være krav om å vurdere potensielle personvernkonsekvenser den gitte behandlingen kan få. Implementering av nye videoløsninger, eller bruk av videoløsninger på en ny måte, er et typisk eksempel på en behandling som bør gjennomgå en vurdering av personvernkonsekvenser (ofte kalt DPIA).

En vurdering av personvernkonsekvenser (ofte kalt DPIA) er en prosess som skal beskrive behandlingen av personopplysninger, og vurdere om den er nødvendig og proporsjonal. Det vil si at virksomheten skal vurdere om de må behandle personopplysninger for å oppfylle et gitt formål, om de benytter flere personopplysninger enn det de strengt tatt trenger, og om det inngrepet i den enkeltes personvern står i forhold til formålet. Den skal også bidra til å håndtere de risikoene behandlingen medfører for enkeltpersoners rettigheter og friheter ved å vurdere dem og komme frem til risikoreduserende tiltak. En DPIA vil ofte bygge på de vurderingene som er gjort i en risikovurdering av informasjonssikkerheten.

Det finnes mange gode maler for DPIA, f.eks. mal fra Direktoratet for e-helse og mal fra KINS/Bærum kommune.

I arbeidet med både risikovurderinger og vurderinger av personvernkonsekvenser er det viktig å ha med ulike typer kompetanse: helsepersonell, juridisk, personvern, informasjonssikkerhet, drift, anskaffelse mm. Særlig ved vurderinger knyttet til ny bruk av teknologi krever at man har tilstrekkelig forståelse for hvordan løsningen fungerer i praksis.

Noen eksempler på scenarioer det kan være aktuelt å risikovurdere:

1. Bruk av video, lyd og bilde skjer i virksomheten uten lovlig rettsgrunnlag fordi opptak brukes til andre formål enn opprinnelig bestemt (formålsutglidning)
2. Leverandør behandler personopplysninger uten at det er inngått databehandleravtale
3. Video-, lyd- og bildeopptak lar seg ikke slette som fastsatt fordi virksomheten ikke har kontroll / oversikt over lagringsmedier
4. Pasient / brukers innsynsrett lar seg ikke oppfylle fordi virksomheten ikke har kontroll / oversikt over lagringsmedier
5. Pasient / bruker ser video, lyd og bilde om en annen pasient på PC/visningsutstyr (som er plassert slik at innsyn er mulig)
6. Pasient / bruker ser video-, lyd- og bildeopptak om en annen pasient fordi opptak av flere pasienter er lagret på samme lagringsenhet
7. Video-, lyd- og bildefiler redigeres / endres uten autorisering og/ eller logging
8. Video-, lyd- og bildefiler blir låst og / eller utilgjengelig pga. teknisk feil
9. Utstyr med video-, lyd- og bildeopptak (bærbar pc, kamera og minnekort, andre lagringsmedier) mistes, stjeles eller går tapt på annen måte
10. Besøkende (pasient eller andre)  tar med seg lagringsenhet med video-, lyd- og bildeopptak
11. Lagringsenhet med video-, lyd- og bildeopptak blir ikke slettet forsvarlig før avhending.
12. Utstyr med video-, lyd- og bildeopptak brukes privat av virksomhetens ansatte
13. Ansatt sender ukryptert video-, lyd- og bildeopptak via e-post
14. Video-, lyd- og bildeopptak av pasienter og brukere lagres i usikre skybaserte tjenester som f.eks. dropboks eller filarkiv på internett
15. Ansatte har ikke fått opplæring i hvordan bruk av video, lyd og bilde skal skje i henhold til prosedyrer i virksomheten
16. Nettverk og PC/arbeidsstasjoner  for bruk av video, lyd og bilde blir angrepet av datavirus  eller ondsinnet kode
17. Stans i server med video-, lyd- og bildeopptak pga. tekniske problemer
18. Manglende tilgangskontroll til utstyr eller lagringsområde med video-, lyd- og bildeopptak (personell uten tjenstlig behov har tilgang)
19. Oversikt over tildelte autorisasjoner for tilgang til video, lyd og bilde oppbevares mindre enn 5 år
20. Ansatt som slutter blir ikke fjernet som bruker i system med tilgang til video, lyd og bilde
21. Ikke autorisert bruk og forsøk på uautorisert bruk registreres ikke som sikkerhetshendelser
22. Bygget hvor virksomheten holder til er utilgjengelig pga. brann, naturskade mv., og server med video-, lyd- og bildeopptak og sikkerhetskopier (backup) er midlertidig utilgjengelig eller går tapt (dersom fysisk lagring hos virksomheten)

Listen med eksempler er ikke uttømmende og må sees på som et utgangspunkt for virksomhetens risikovurderinger.

3.1 Særlig om risiko ved bruk av lyd og bilde

Risikoen som beskrives for bruk av video vil være gjeldende også for bruk av kun lyd og/eller kun bilde. Det er imidlertid noen temaer som bør fremheves særlig for disse mediene.

Lyd benyttes i stor grad blant annet ved føring av direktetekst inn i behandlingsrettede helseregistre, gjennom talegjenkjenningsapparater som transkriberer helsepersonellets tale. Dette kan være en risiko for den delen av informasjonssikkerheten som kalles integritet. Virksomheten kan risikere at opplysningene som havner i registeret ikke stemmer med det helsepersonellet har forsøkt å lese inn.

Velferdsteknologiske hjelpemidler øker stadig i utbredelse, og flere av disse benytter lydovervåkning for å hjelpe pasienter/ brukere både på institusjon og i hjemmet. Dette kan også føre til utfordringer for privatlivet, da pasienter/ brukeres lyd kan monitoreres til enhver tid. For mer om velferdsteknologi, se Normens velferdsteknologiveileder.

Helsetjenesten opplever i stadig større grad å motta henvendelser knyttet til innsyn i og/eller utlevering av lydlogger. Dette kan være for eksempel fra pasienter/pårørende som søker større forståelse av hva som skjedde i en akuttsituasjon, eller fra pasienter som skal delta i TV-produksjoner eller podkaster og ønsker et rikere kildetilfang i denne forbindelse. Dette introduserer blant annet risiko for personvernet til helsepersonell som er omfattet av en slik lydlogg, og eventuelle tredjeparter som deltar og/eller omtales. Dette vil særlig gjelde ved videre bruk og publisering, og det er sentralt at de(n) registrerte får tilstrekkelig informasjon som er egnet til å skape en forståelse for eventuelle (personvern)konsekvenser slik publisering kan innebære.

Akuttmedisinforskriften fastslår at AMK- og legevaktsentralers lydopptak er å anse som en del av pasientens journal, og skal behandles deretter. Det skal derfor gis innsyn i lydfiler som i andre deler av en pasients journal. Lydopptak gir imidlertid ikke nødvendigvis et fullstendig bilde av hendelsesforløpet, og innsyn bør ifølge forskriften som hovedregel gis i form av adgang til å lytte til lydopptaket sammen med helsepersonell for å supplere lydopptaket, eksempelvis for å forklare ord og uttrykk som er benyttet eller for å gi annen utfyllende og relevant informasjon. Innsyn kan også gis som utskrift av lydopptaket.

Det har imidlertid vært diskutert hvorvidt man plikter å utgi en kopi av lydlogger, dersom det er ønsket av en av partene på opptaket. Det skal tas utgangspunkt i forsvarlig saksbehandling, samtidig som Helse- og omsorgsdepartementet har pekt på at særlig lydlogger fra AMK-sentral er av en annen karakter enn alminnelige saksdokumenter. Dialogen kan blant annet være preget av akutte og vanskelige situasjoner, med flere involverte aktører. Det må med andre ord vurderes i det enkelte tilfelle hvorvidt en lydlogg kan utleveres, både med tanke på den registrertes rettigheter og personvernet til eventuelle andre som deltar og/eller omtales i selve loggen. Mer om dette finnes i blant annet i tolkningsuttalelse til offentleglova fra Justis- og beredskapsdepartementet.

Bilder kan brukes i mange sammenhenger i helse- og omsorgssektoren, og det vil derfor også være tilfeller der man for eksempel sender bilder gjennom portaler for pasientkommunikasjon. Mer om digital pasientkommunikasjon finnes i egen veileder.

Ved bruk av bilder er det høyere risiko for brudd på konfidensialiteten. Det er lett å be om, sende, videresende, og feilsende et bilde enn større produkter som video. Å ta et bilde er umiddelbart, og det samme gjelder delingen av det. Dette øker risiko for menneskelig feil, og at helse- og personopplysninger kommer på avveier. Dette krever gode rutiner og kompetanse for helsepersonell som skal behandle bilder innenfor personvernregelverket.

4. Risiko ved bruk i ytelse av helsehjelp

Det finnes ulike måter å benytte video, lyd og bilde i ytelse av helsehjelp, herunder gjennomføring av legevisitt, oppfølging mellom kommunalt helsepersonell og pasient/bruker i eget hjem, tverrfaglige møter uten pasienten, overføringer fra skadested til sykehus, mv. Dette kan gjøres med kun video, lyd eller bilde, eller som en kombinasjon av de ulike formene for kommunikasjon.

I forbindelse med koronaepidemien i 2020 økte bruken av særlig videokonsultasjoner i helse- og omsorgssektoren betraktelig. Videokonsultasjon er ytelse av helsehjelp med videooverføring hvor pasienten enten er til stede i videokonsultasjon eller omtales med identifiserende opplysninger. Videokonsultasjon kan gjennomføres ved at pasienten enten bruker virksomhetens utstyr eller sitt eget private utstyr. Risikoene og tiltakene blir da forskjellige. Dette er viktige momenter i vurderingen, bl.a. med tanke på sikring og autentisering av utstyret.

For oppstartshjelp innen video har Nasjonalt velferdsteknologiprogram utarbeidet en kvikk-guide for videokommunikasjon i helse- og omsorgstjenesten, som er basert på erfaringer fra en rekke kommuner med ulik menge erfaring med bruk av video i sektoren.

Det finnes imidlertid annen bruk av video enn den forhåndsplanlagte videokonsultasjonen mellom helsepersonell og pasient/bruker. Det kan blant annet være konsultasjoner mellom helsepersonell, for eksempel mellom personell på skadested og sykehus. Mens det i en slik situasjon vil være "krise", er det sentralt at risikovurderingene som er gjort i forkant tar høyde for det som i realiteten er normalsituasjonen for blant annet ambulerende tjenester. Man må ha en plan for det uforutsette – fra tekniske konfigurasjoner til ekstremvær i felt. Dette fører til at betraktninger rundt redundans vil være hent sentrale. Virksomheten må vite hva man skal gjøre dersom det oppstår en akuttsituasjon og helsepersonellet må bruke video for å yte helsehjelp.

Tabellen nedenfor viser noen av Normens krav og mulig løsning for hvordan kravene kan ivaretas ved bruk av videokonsultasjon for å yte helsehjelp. Disse gjelder i tillegg til de generelle kravene som er beskrevet i kapittel 2.

For å illustrere hvordan en virksomhet som skal benytte videokonsultasjoner bør tenke med hensyn til risiko, benytter denne veilederen eksempelet om det fiktive Normland legesenter.

Normland legesenter skal begynne å bruke videokonsultasjon, for å kunne bistå med helsehjelp til sine pasienter uten at de må møte fysisk på legekontoret.

Legesenteret må velge en leverandør, og er usikre på hvordan de går frem. Det er Normland som behandler som har ansvaret for at leverandøren de velger tilfredsstiller kravene til personvern og informasjonssikkerhet. Normland er usikre på hvordan dette skal vurderes. De ser at Direktoratet for e-helse anbefaler å bruke en videoløsning som allerede er i bruk i helsetjenesten, og benytter oversikten over disse på direktoratets nettsider som utgangspunkt.

Før Normland legesenter velger og implementerer en løsning for videokonsultasjon, må det gjennomføres en risikovurdering. Både informasjonssikkerheten i løsningen og rutinene/arbeidsprosessene legesenteret planlegger å etablere for å behandle helse- og personopplysningene på en måte som tilfredsstiller kravene i Normen må risikovurderes. Normland legesenter synes dette er vanskelig, og ber derfor leverandøren om bistand til risikovurderingen. De ber om å få oversendt leverandørens egne risikovurderinger og annen dokumentasjon, og ber leverandøren om å fylle ut Normens vedlegg med oversikt over Normens krav. Dette er et godt utgangspunkt for å skape en tilstrekkelig forståelse for hvilken risiko den nye løsningen representerer for legesenteret, og hvilke rutiner som må implementeres.

Sentrale temaer/ scenarioer for en risikovurdering av denne praksisen vil være:

1. Uautorisert utlevering av helseopplysninger:
   1. Pasient er ikke alene ved bruk av videokonsultasjon (pårørende, hjemmesykepleien, NAV, andre), med mindre pasienten selv ønsker det
   2. Flere helsepersonell er til stede, men pasient vet ikke det / ser ikke det
   3. Uvedkommende utenfor rommet ser eller overhører konsultasjonen
   4. Uvedkommende kommer inn i rommet under konsultasjonen
   5. Pasient tror videokonsultasjon er avsluttet/nedkoplet, noe den ikke er
2. Videokonsultasjon tas opp og spres til utenforstående
3. Uønsket spredning av videokonsultasjon pga. ondsinnet programvare (virus o.l.) på pasientens private PC/nettbrett/mobiltelefon
4. Kommunikasjonen i videokonsultasjon avlyttes
5. Krypteringen brytes underveis i utstyr virksomheten ikke har kontroll med
6. En av partene ringer opp feil utstyr/enhet og det utveksles personopplysninger
7. Feiltolkning av innhold i videokonsultasjon. Dårlig linje, liten båndbredde, varierende stabilitet i Internett, dårlig bilde, dårlig eller manglende lyd
8. Videokonsultasjon kan ikke startes (kobles opp) som planlagt. Feil på utstyr hos en av partene. Feil i datanettet. Utstyr er fjernet
9. Stans i videokonsultasjon under bruk
10. Autentiseringskriteria tildeles uautoriserte
11. Pasient er ikke entydig autentisert
12. Helsepersonell er ikke autentisert på en sikker måte
13. Uautoriserte kobler seg til virtuelle møterom
14. Medarbeidere hos leverandøren får tilgang til helse- og personopplysninger.
15. Leverandøren mellomlagrer video med lyd i sin løsning uten av Normens krav er
16. Leverandøren er plassert utenfor EU/EØS
17. Ved skjermdeling viser helsepersonell ved feiltagelse sensitiv informasjon om annen pasient
18. Pasient tar opp samtalen uten tillatelse

Listen er ikke uttømmende, men er ment som en oversikt over mulige temaer.

5. Risiko ved bruk i veiledning og opplæring

Målet med veiledning og opplæring er at helsepersonell skal utvikle sine kunnskaper, ferdigheter og holdninger. Veiledning er en sentral del av spesialistutdanningen. Spesialister i ulike fagfelt i helse- og omsorgssektoren besitter viktig kompetanse og har et stort ansvar for sårbare grupper i befolkningen. Derfor er det viktig at en i utdanningen av disse kan benytte metoder som best mulig fremmer og sikrer nødvendig kompetanseutvikling.

En veileder skal med sin erfaring og ekspertise bidra til utvikling og tilfredsstillende kompetanseutvikling.

Veiledningsarbeid kan foregå ved at helsepersonell kommer til veileder og muntlig presenterer utfordrende saker og situasjoner som vedkommende sliter med å håndtere. En slik metode avhenger av den enkeltes hukommelse og den muntlige presentasjonen denne gir av utfordringen. Videre må veileder tolke en problemstilling på et usikkert grunnlag. Direkte innblikk i situasjoner fra veileder vil være nyttig, men fysisk tilstedeværelse er ikke alltid mulig. Da kan bruk av video være et sentralt verktøy i veiledningen.

Video-, lyd- og bildeopptak bør som hovedregel brukes i anonym form i veiledning. Helsepersonell kan da uten hinder av taushetsplikten utlevere video-, lyd- og bildeopptak til opplæringsformål. For å sikre anonymisering av video-, lyd- og bildeopptak som identifiserer pasienten/brukeren, kan ansikter sladdes og stemmer fordreies. Dette er imidlertid ikke alltid mulig, enten av tekniske, ressursmessige eller faglige årsaker.

Tidligere var denne typen behandling konsesjonspliktig, men med det nye personvernregelverket bortfaller denne plikten. I praksis betyr dette at den behandlingsansvarlige selv må vurdere om en behandling av personopplysninger er tillatt. Det innebærer blant annet å vurdere om det finnes behandlingsgrunnlag, om man oppfyller alle pliktene knyttet til behandlingen og så videre. For mer om disse endringene, se Datatilsynets nettsider.

Helsepersonelloven gir unntak fra taushetsplikten ved helsepersonells bruk av opplysninger til læringsarbeid og kvalitetssikring knyttet til helsehjelpen helsepersonellet selv har ytt. Således kan helsepersonell bruke video, lyd og bilde til egen læring. Pasienten kan imidlertid motsette seg denne bruken. Til andre typer opplæringsformål er det ingen annen lovbestemmelse som gjør unntak fra helsepersonellets taushetsplikt for å kunne videreformidle personidentifiserbare opplysninger. Bruk av video, lyd og bilde i personidentifiserbar form vil derfor da kreve samtykke fra den som opplysningene gjelder, dersom dette skal utleveres til opplæringsformål. I disse tilfeller er det snakk om behandling av helseopplysninger som ikke har direkte sammenheng med helsehjelpen til den enkelte, og den aktuelle behandling vil være omfattet av helseregisterlovens bestemmelser. I tillegg kreves hjemmel for den videre behandling og lagring av opplysningene etter at de er utlevert til opplæringsformål.

I hovedsak bør det derfor innhentes skriftlig samtykke for at video, lyd og bildeopptak skal kunne utleveres til bruk i veiledning og opplæring. Dette samtykket kan innhentes både i forkant av opptaket og etterpå. I begge tilfeller må det være helsepersonell som allerede har tilgang til opplysningene i medhold av helsepersonelloven, som tar kontakt med pasientene/brukerne for å innhente eventuelt samtykke til at aktuell video, lyd og bilde kan utleveres til bruk i opplæring. Det må da informeres om formålet og den videre behandling. Alle som omfattes av opptaket må samtykke for at dette skal kunne brukes til opplæring.

Tabellen nedenfor viser noen av Normens krav og mulig løsning for hvordan kravene kan ivaretas ved bruk av video i veiledning. Disse gjelder i tillegg til de generelle kravene som er beskrevet i kapittel 2.

For å illustrere hvordan en virksomhet som skal benytte video, lyd og bilde i veiledning bør tenke med hensyn til risiko, benytter denne veilederen eksempelet om den fiktive Normveien Psykologpraksis.

Normveien Psykologpraksis består av erfarne psykologer, som regelmessig er veiledere for psykologer i spesialisering. Denne høsten skal psykologer hos Normveien være veileder både for en ny psykolog i spesialisering som er nyansatt hos Normveien, og for en psykolog som er ansatt i Psykologene Normbakken i en annen del av landet.

De ønsker å bruke video som et verktøy i denne veiledningen, både en-til-en mellom veileder og den som veiledes, og ved opptak. Både fordi det gjør det lettere å veilede en psykolog som er langt unna rent geografisk, men også fordi det gir bedre mulighet for veilederen til å forstå hvordan psykologen skal kunne utvikle seg faglig i ulike terapisituasjoner. Merk at krav til behandling av videoopptak som er beskrevet i kapittel to også vil være gjeldende her.

For Normveien Psykologpraksis er det mange ulike elementer som bør være gjenstand for risikovurdering:

Psykologpraksisen bør bruke egnet utstyr og programvare for opptak med helse- og personopplysninger som oppfyller Normens krav, til blant annet autentisering og kryptering.

Dersom en spiller av et videoopptak på en ekstern enhet vil opptaket «mellomlagres» på denne enheten. Da må samme sikkerhetstiltak gjennomføres for å blant annet slette opptaket etter bruk.

Innholdet av videopptaket skal kun være tilgjengelig personell med tjenstlig behov, og skal tilgangsstyres i henhold til Normens krav.

Best kvalitet på veiledningsmaterialet får man kanskje når man ser både pasient og terapeut. Har virksomheten utstyr til å sladde videoer eller fordreie stemmer bør dette vurderes brukt for å begrense mulighet for identifisering. Dersom dette ikke er mulig eller er kvalitetsmessig hensiktsmessig, bør virksomheten vurdere hvorvidt det finnes andre måter å begrense personopplysningene til det som er nødvendig.

Virksomheten som har samlet inn personopplysningene er dataansvarlig etter personopplysningsloven, og plikter å sørge for at video, lyd og bilde som inneholder personopplysninger behandles deretter. Dersom personopplysninger deles med en databehandler, skal dette ansvaret følge av inngått databehandleravtale.

Det må særlig etableres rutiner for håndtering av veiledningsmaterialet etter at veiledningen er gjennomført hos alle virksomheter som har behandlet personopplysningene. Dette inkluderer dokumentasjon av veiledningen og hvem som har hatt tilgang, samt lagringstid og sletterutiner som omfatter alle enheter som har vært i bruk.

6. Risiko ved bruk i kvalitetssikring

Helse- og omsorgstjenester av god kvalitet er virkningsfulle, trygge og sikre, involverer brukerne og gir dem innflytelse, er samordnet og preget av kontinuitet, utnytter ressursene på en god måte og er tilgjengelige og rettferdig fordelt. Dette fordrer at virksomheter i sektoren foretar internkontroll og kvalitetssikring av tjenesten.

For å kunne gjøre dette vil det være nødvendig å få tilgang til opplysninger, herunder video-, lyd- og bildeopptak, som er innhentet i forbindelse med ytelse av helsehjelp i virksomheten.

For mer om kvalitetssikring, se Veileder til forskrift om ledelse og kvalitetsforbedring i helse- og omsorgstjenesten på Helsedirektoratets nettsider.  

De aktuelle opplysninger er i utgangspunktet innhentet til et annet formål enn kvalitetssikring, og er underlagt helsepersonells taushetsplikt. For at helsepersonell skal kunne utlevere disse opplysningene må det derfor foreligge et unntak fra taushetsplikten. I tillegg kreves hjemmel for den videre behandling og lagring av opplysningene etter at de er utlevert til kvalitetssikringsformål.

Helsepersonelloven gir unntak fra taushetsplikten for internkontroll og kvalitetssikring av tjenesten. Video-, lyd- og bildeopptak som inngår i behandlingsrettede helseregistre vil også kunne utleveres i medhold av denne bestemmelsen hvis det er nødvendig for formålet.

Opplysningene skal så langt som mulig gis uten individualiserende kjennetegn. Normalt vil det ikke være nødvendig å gi opplysninger om en pasients identitet i forbindelse med kvalitetssikring. Dersom formålet tilsier at det er nødvendig å få utlevert personidentifiserbare opplysninger, må det vurderes konkret i hvert enkelt tilfelle hvilke opplysninger som er nødvendige for formålet.

Dersom formålet med kvalitetssikringen gjør det nødvendig å benytte opptak av video, lyd og bilde i personidentifiserbar form, kan pasient/bruker motsette seg utlevering. Dersom helsepersonellet mener det er grunn til å tro at pasienten/brukeren ville motsette seg slik behandling, skal denne kontaktes. Det kan for eksempel være fordi at vedkommende har benyttet sin rett til å sperre opplysningene opplysninger i journalen. Det vil ikke være et krav om formelt samtykke, men pasienten/brukeren må i slike situasjoner gis en reell rett til å si nei. Mer om dette i helsepersonelloven med kommentarer.

Når det gjelder utlevering av video, lyd og bilde av sensitiv karakter bør man være spesielt oppmerksom på retten til å motsette seg, og man bør være ekstra nøye med å spørre. Jo mer sensitivt, desto større grunn til å spørre.

Tabellen nedenfor viser noen av Normens krav og mulig løsning for hvordan kravene kan ivaretas ved bruk av video i kvalitetssikring. Disse gjelder i tillegg til de generelle kravene som er beskrevet i kapittel 2.