Helse Nord RHF

I forslaget er virkeområdet beskrevet som personell i roller med stor og utvidet tilgang til helsedata som kan være av interesse for en trusselutøver, og hvor personell alene eller sammen med andre kan gjøre stor skade og kunne true helse- og omsorgstjenestens evne til å ivareta sine oppgaver og befolkningens helse og sikkerhet og derigjennom kunne skade nasjonale sikkerhetsinteresser. Formålet med forslaget er å hindre at personer som kan representere en risiko for nasjonale sikkerhetsinteresser i helsesektoren gis adgang til objekter eller godkjennes for informasjonstilgang i det som defineres som kritiske stilinger. Helse Nord RHF benytter i sin høringsuttalelse begrepet «kritiske stillinger» om målgruppen for bakgrunnssjekk.

Det følger av definisjonen av skjermingsverdig informasjon i sikkerhetsloven § 5-1, jf. § 5-3 at det eksisterer en kategori informasjon som skal beskyttes som følge av skadepotensiale for nasjonale sikkerhetsinteresser hvis informasjonen blir endret, går tapt eller blir gjort utilgjengelig, men som ikke har tilsvarende skadepotensiale dersom den blir kjent for uvedkommende. Slik informasjon omtales som ugradert skjermingsverdig. Dette vil sjelden dreie seg om enkeltopplysninger, men primært gjelde større mengder informasjon samlet i et informasjonssystem. Ugradert skjermingsverdig informasjon skal beskyttes i henhold til regler gitt i sikkerhetsloven kapittel 5.

Den type informasjon som er beskrevet i høringsnotatet fremstår som å kunne være ugradert skjermingsverdig informasjon med tilhørende lovfestet beskyttelseskrav som er rundt formulert til «et forsvarlig sikkerhetsnivå», noe som underbygger behovet for en forskriftsfestet hjemmel for å kunne gjennomføre bakgrunnssjekk.

Det er det enkelte helseforetak som eget rettssubjekt som selv er ansvarlig for å følge gjeldende regelverk på området. De foreslåtte endringene dekker et område som hittil i liten grad har vært regulert og følgelig har vært lite transparent og åpent for ulike, usaklige og mulig diskriminerende praksiser særlig knyttet til ansettelser. Forslaget inneholder lovmessige rammer som bedre vil sette helseforetakene i stand til en mer helhetlig etterlevelse av lov- og regelverk samt ivareta transparens og notoritet i personverninngripende prosesser som kan relateres til bruk av bakgrunnssjekk.

For helsesektoren har problematikken rundt kritiske stillinger så langt vært et marginalt fenomen, som har fått en forhøyet aktualitet med bakgrunn i den sikkerhetspolitiske utviklingen de siste årene slik det er beskrevet i de årlige trusselvurderingene fra EOS-tjenestene. Endringen i trusselbildet aktualiserer behovet for bakgrunnssjekk særlig knyttet til at statlige aktører fra såkalte høyrisikoland benytter menneskelige kilder for å innhente og påvirke informasjon de ikke har en legal tilgang til.

Det har vært en økning i antall søkere med opprinnelse fra såkalte høyrisikoland på stillinger i helsesektoren som ut fra virkeområdet kan vurderes som kritiske. Dette underbygger et økt behov for bakgrunnssjekk i kritiske stillinger der det i forhold til informasjonen som behandles ikke er mulighet for bruk av sikkerhetsklarering eller adgangsklarering med hjemmel i sikkerhetsloven. Det vurderes slik det er beskrevet i forslaget fornuftig å innrette en ny praksis med bakgrunn i erfaringer knyttet til sikkerhets- og adgangsklarering siden dette er en velprøvet praksis og siden den informasjonen som skal beskyttes kan defineres som ugradert skjermingsverdig jfr. sikkerhetsloven.

CER-direktivet artikkel 14 tilsier at bakgrunnskontroll skal være forholdsmessig og strengt begrenset til det som er nødvendig. Den foretas utelukkende for å vurdere en potensiell sikkerhetsrisiko for den berørte kritiske enhet. En bakgrunnskontroll skal minst bekrefte identiteten til den personen som er gjenstand for bakgrunnskontrollen og kontrollere strafferegistrene for den angjeldende person for så vidt angår lovovertredelser, som ville være relevante for en bestemt stilling.

Vår vurdering er at kravet i CER-direktivet vil være oppfylt ved at det gis anledning til å innhente utvidet og uttømmende politiattest knyttet til kritiske stillinger i helsesektoren, altså en utvidelse av hjemmelen i helsepersonelloven.

Bakgrunnssjekk vil være et kontrolltiltak med noe ulik kompleksitet i praktiseringen ift. om det dreier seg om rekruttering/utlysing av stillinger eller hvis det dreier seg om at eksisterende stillinger blir definert som kritiske. Lovforslaget legger mye vekt på bakgrunnssjekk ved ansettelse. Helse Nord mener at det er hensiktsmessig å påpeke viktigheten av at virksomhetene jobber med sikkerhetstiltak for personell gjennom hele ansettelsesforholdet. For å ivareta et forsvarlig sikkerhetsnivå.

Vurderingen av funn i en bakgrunnssjekk vil kunne defineres som skjønnsmessig. Hvis opplysningene gir grunn til å anta at søker til eller innehaver av en kritisk stilling kan representere en risiko for nasjonale sikkerhetsinteresser, kan dette medføre avslag eller konsekvenser i arbeidsforholdet. Konsekvenser ved negative funn gjennom bakgrunnssjekk vil derfor kreve en kompetanse som nødvendigvis ikke vil være til stede i alle virksomheter som omfattes av en ny hjemmel.

Forslagets beskrivelse av samtykkekravet for personell som allerede innehar stillinger som defineres som kritiske, kan forstås som med tilbakevirkende kraft og oppfattes som en pressituasjon hvor unnlatelse av å samtykke i seg selv medfører at personellet ikke kan inneha stillingen og tvinges til å fratre uavhengig om det skulle foreligge negative funn. Det vil kunne foreligge juridiske utfordringer knyttet til arbeidsavtaler og grunnlag for å omplassere personell eller i de tilfeller det vil være aktuelt med oppsigelse. Det vil også kunne oppstå behov for tilrettelegging og særskilt oppfølging av personell som kan bli krevende for virksomhetene, selv om det vil være snakk om et begrenset antall stillinger som defineres som kritiske.

Det beskrives i forslaget at innhenting av bakgrunnsinformasjon av til dels inngripende karakter er et inngrep i det enkelte personellets personvern. Formålet beskrives med at begrensing av risiko for kompromittering av bl.a helseopplysninger i seg selv er et personverntiltak. Dette kan tolkes som at hensynet til ivaretakelse av personvernet til pasienter er av så viktig at hensynet til den enkeltes personvern må vike, noe som gjør det viktig å finne en balanse mellom disse hensynene.

Dette innebærer at det bør være tilstrekkelig tydelige rammer for definering av hva som kan være kritiske stillinger. Med erfaring fra eskalering i bruken av sikkerhets- og adgangsklareringer etter sikkerhetsloven etter endring i den sikkerhetspolitiske situasjonen ligger en risiko for at en slik utvikling også vil kunne skje ift. en gradvis utvidelse i definisjonen av hva som er kritiske stillinger hvor det kan gjennomføres bakgrunnssjekk, med økt saksmengde som resultat.

Innføring av bakgrunnssjekk innenfor de rammer som høringsnotatet beskriver vil utløse et ikke ubetydelig kompetansebehov som for noen virksomheter vil være vanskelig å oppfylle for å sikre kvalitativ god behandling av opplysninger knyttet til bakgrunnssjekken. Dette er svært viktig for å sikre en forholdsmessig håndtering ved mulig behov for inngripende tiltak som endrete arbeidsoppgaver, omplassering og oppsigelse. Videre at det etableres en etisk og tilstrekkelig lik praksis når det kommer til vurdering av stillingers kritikalitet samt håndtering av konsekvenser ved negative funn.

Høringsnotatet beskriver en profesjonalisert håndtering av bakgrunnssjekk gjennom en etablering over tid av en sentral aktør. Opprettelse av et nytt sentralt organ for å håndtere bakgrunnssjekk og arkivere opplysninger knyttet til bakgrunnssjekken vil kunne kreve betydelige ressurser, opprettelse av et nytt register og kan oppfattes som et sideordnet organ til eksisterende klareringsmyndigheter, som for helsesektorens vedkommende er Sivil klareringsmyndighet (SKM).

I lovforslaget vedrørende pasientjournallovens § 22a om bakgrunnssjekk kan «den dataansvarlige kreve og gjennomføre bakgrunnssjekk…» I lovforslaget gis ikke databehandleren hjemmel for å kunne iverksette et slikt tiltak. I Helse Nord vil de fleste av stillingene som gir bred tilgang til objekter eller infrastruktur hvor det behandles store datasett med person- og helseopplysninger som er kritisk for helse- og omsorgstjenestens evne til å ivareta sine oppgaver være hos databehandleren i Helse Nord IKT. Helse Nord RHF mener derfor at ordlyden i § 22a også bør omhandle databehandleren.

Vårt endringsforslag er: «Den dataansvarlige og databehandleren skal kreve og gjennomføre bakgrunnssjekk …..»

Sikkerhets- og beredskapsdirektør