Sedan ungefär tio år tillbaka har Länsverksamhet Röntgen i Västernorrland ett upphandlingskontrakt om teleradiologiska tjänster med ett företag som har verksamhet både i Europa och Australien. 2018 gjordes drygt 13 000 distansgranskningar den vägen, vilket utgjorde ungefär 10 procent av all datortomografi, magnetkameraundersökning och konventionell röntgen.

– Det är viktigt för vår verksamhet. Vi har brist på radiologer i Region Västernorrland. Det är en brist i en stor del av riket. Samtidigt ser vi ett ökat behov av radiologisk utredning och behov av att vi håller våra svarstider. I det läget är vårt behov av distansgranskning stort, säger Eva Fehrman, chef för Länsverksamhet Röntgen.

På grund av detta har politikerna i regionstyrelsen sagt ja till att även fortsättningsvis upphandla tjänsterna, trots att regionens jurister kommit fram till att förfarandet är olagligt.

I korthet handlar de förmodade lagöverträdelserna om tre saker:

  • Otillåtet röjande av sekretesskyddade uppgifter enligt offentlighets- och sekretesslagen.
  • Otillåten direktåtkomst enligt patientdatalagen.
  • Otillåten tredjelandsöverföring enligt dataskyddsförordningen GDPR.

Regionen tvingas till svåra avvägningar, enligt Eva Fehrman.

– Å ena sida försöka upprätthålla patientsäkerhet, å andra sidan värna om patientsekretessen. Vi hamnar i ett läge där lagarna ställs mot varandra, så att säga. Det är viktig att det här lyfts, vi är nog inte de enda som brottas med dessa frågor.

Telemedicine clinic, företaget som Region Västernorrland anlitar, är kontrakterat av flera andra regioner i landet. 56 sjukhus i Sverige använder dess tjänster för jourtidsgranskning av svenska radiologer i Australien.

Politikerna i Västernorrland har inför sitt beslut att fortsätta upphandla tjänsterna, tagit del av verksamhetens beskrivning av det behov som finns, och regionjuristernas analys av det juridiska läget.

För att minimera risken gällande informationssäkerhet vidtar regionen ett antal skyddsåtgärder. Bland dessa finns att leverantörens anställda skriver på sekretessavtal, krav att leverantören följer GDPR och flerfaktorsbaserad autentisering för att få tillgång till regionens information.

– Vi är i gränslandet, helt klart. Bedömningen är att vi kan säkra upp det på ett sådant sätt att risken minimeras ordentligt, säger Glenn Nordlund (S) ordförande regionstyrelsen, till Sveriges Radio P4 Västernorrland.

Henrik Agrell, vd på Telemedicine clinic, säger att man har arbetat mycket med Region Västernorrland och andra regioner för att försäkra sig om att alla lagar följs.

– I princip handlar det mycket att kunna visa att data skyddas på samma nivå som data skulle ha skyddats inom EU: hur data skyddas, vilka ISO-standarder vi har, hur data krypteras och så vidare, säger han till Läkartidningen.

Följer det lagarna?

– Vår uppfattning är så klart att det följer lagarna.

Sjukvårdspartiet, med sina tre styrelseledamöter, var splittrat i frågan om att förlänga avtalet. En av dessa reserverade sig mot beslutet och har överklagat det till förvaltningsrätten enligt laglighetsprövning i kommunallagen, uppger P4 Västernorrland.

Regionstyrelsens beslut med delar av underlaget finns på Region Västernorrlands webbplats.

Kan ge »betydande sanktionsavgifter och skadestånd«

Regionjuristerna har kommit fram till att outsourcing, där en leverantör får tillgång till sekretesskyddade uppgifter, inte kan anses vara laglig. De bygger det på att Justitieombudsmannen tidigare bedömt att outsourcing till privat bolag som tillhandahåller läkarsekreterare inte var laglig utifrån offentlighets- och sekretesslagen. Detta trots exempelvis sekretessavtal med leverantören och personuppgiftsbiträdesavtal upprättats.

Juristerna har också kommit fram till att regionen inte har möjlighet att upprätta en tillåten direktåtkomst till privat leverantör inom teleradiologiska tjänster, enligt patientdatalagen.

Därtill ska GDPR utgöra ett direkt hinder mot all tredjelandsöverföring till länder där exempelvis lagstiftning medger utlämnande till nationens myndigheter. Extra känsligt blir överföring av känsliga personuppgifter såsom hälso- och sjukvårdsuppgifter.

Regionens jurister samlade bedömning är att upplägget inte kan godkännas utifrån juridiska aspekter. De noterar också att överträdelse av patientdatalagen och GDPR kan »utgöra grund för betydande sanktionsavgifter och skadestånd«.