Datasikkerhet i helsetjenesten — slik beskytter du pasientene som helsefagarbeider

Du er på kveldsvakt på sykehjemmet. En pårørende har sendt en melding via den digitale pasientjournalen, og du svarer fra mobilen din mens du står i personalrommet. Ved siden av deg ligger en kollega sin telefon med journalen åpen, fordi hun skulle hente noe i neste rom. Ingen tenker over det. Det er bare en vanlig kveld på jobb.

Men akkurat slike situasjoner er kjernen i datasikkerhet i helsetjenesten. Og en fersk forskningsstudie viser at temaet får for lite oppmerksomhet — også på det høyeste nivået.

Nyheten: Styrearbeid om digital sikkerhet blir en «papirøvelse»

Forskere ved Simula har undersøkt hvordan styrer i 33 helseforetak faktisk arbeider med digital sikkerhet. Studien bygger på svar fra 103 styremedlemmer og gjennomgang av 594 styreprotokoller, ifølge Sykepleien 18. august 2026.

Resultatet er bekymringsfullt: Tre av fire styresaker om digital sikkerhet var rene orienteringer eller statusrapporter. Bare 23 prosent var registrert som beslutningssaker. Samtidig svarte 92 prosent av styremedlemmene at de i noen grad sørger for at sikkerhetsstrategien passer med virksomhetens mål og samfunnsoppdrag.

Bare 6,8 prosent av styremedlemmene oppga at digital sikkerhet blir diskutert på hvert styremøte. Nesten halvparten svarte at temaet tas opp bare én gang i året. Forskerne fant at styrene engasjerer seg aktivt først når de får en revisjonsrapport, en konkret trusselvurdering eller må håndtere en sikkerhetshendelse.

– Uten jevnlige oppfølginger og kritiske spørsmål risikerer styrets arbeid med datasikkerhet å bli en papirøvelse, sier Jostein Jensen, divisjonsdirektør for cybersikkerhet ved Simula, i en pressemelding.

Hva betyr dette for deg som helsefagarbeider?

Det kan være fristende å tenke at styrearbeid i helseforetakene ikke angår deg. Men studien peker på et mønster som gjelder på alle nivåer: Datasikkerhet blir noe man orienterer om, ikke noe man faktisk øver på og følger opp.

Som helsefagarbeider er du den som står nærmest pasienten — og den som håndterer sensitiv informasjon hver eneste dag. Du logger inn i journalen, du leser opplysninger om medisiner og diagnose, du svarer på meldinger fra pårørende og kolleger. Derfor er du også en av de viktigste forsvarerne mot databrudd i helsetjenesten.

De fleste datalekkasjer skjer ikke fordi hackere bryter seg inn i avanserte systemer. De skjer fordi noen deler et passord, lar en skjerm stå åpen eller svarer på en svindel-e-post.

Mobilen din er en del av jobben din

Mange arbeidsplasser i helse- og omsorgstjenesten bruker mobiltelefoner i pasientarbeidet — til å lese oppgaver, dokumentere, sende meldinger og ringe pårørende. Det er praktisk, men det stiller også krav til deg:

– Ikke ta bilder av pasienter, dokumenter eller skjermer med privat mobil. Selv om bildet bare er «til internt bruk», kan det havne feil sted.

– Ikke skriv pasientopplysninger i private meldinger, e-post eller chattegrupper. Jobbtelefonen og journalsystemet er de eneste riktige stedene for slik informasjon.

– Vær bevisst på hva som ligger på skjermen når du bruker telefonen i fellesarealer. En kollega som står ved siden av deg, har ikke automatisk rett til å se journalen du har åpen.

– Følg arbeidsgiverens regler for hvilke apper du kan laste ned på jobbtelefonen. Mange kommuner og foretak har egne retningslinjer for dette.

Passord og innlogging — enkle regler, store konsekvenser

Passord er fortsatt den vanligste nøkkelen inn i helsetjenestens systemer. Derfor er det viktig at du:

– Aldri deler passord med kolleger, selv ikke «bare for denne ene gangen». Det finnes andre måter å få tilgang på, for eksempel gjennom leder eller systemansvarlig.

– Aldri skriver passord på lapper som ligger ved skjermen eller i skrivebordsskuffen.

– Bruker to-faktor-innlogging når arbeidsgiveren tilbyr det. Det betyr at du i tillegg til passord må bekrefte at det er deg, for eksempel med en kode på mobilen.

– Melder ifra med en gang hvis du mistenker at noen andre har fått tilgang til kontoen din.

Et eksempel: En helsefagarbeider fikk en e-post som så ut som den kom fra IT-avdelingen, med beskjed om å «bekrefte passordet for å beholde tilgangen». Hun klikket på lenken og tastet inn passordet. I løpet av natten ble journalen hennes brukt til å lese opplysninger om flere pasienter. Det var et såkalt phishing-angrep — og det eneste som skulle til, var at hun stoppet opp og meldte fra før hun tastet noe som helst.

Journal og skjermer — lukk, lås, sjekk

Journalen din er et arbeidsverktøy, men den inneholder noe av det mest sensitive som finnes: helseopplysninger om enkeltmennesker. Slik beskytter du dem:

– Lås skjermen hver gang du forlater arbeidsstasjonen, også «bare for å hente noe i neste rom». Det tar to sekunder og hindrer at en tilfeldig person kan lese journalen din.

– Logg av når vakten er over, og sørg for at ingen andre kan bruke innloggingen din etter at du har gått.

– Åpne bare journaler for pasienter du faktisk skal yte helsehjelp til. Å slå opp en nabo, et familiemedlem eller en tidligere pasient «for å sjekke noe» er brudd på taushetsplikten — selv om du bare leser, og selv om du ikke forteller det videre.

– Vær oppmerksom på skjermplassering. Hvis journalterminalen står slik at besøkende eller andre pasienter kan se skjermen, bør du be leder om en skjermvender eller annen plassering.

Samtaler i korridoren og i kantinen

Taushetsplikten gjelder også muntlig. Det er lett å snakke om en krevende pasientsituasjon i lunsjen eller i korridoren — men du vet aldri hvem som hører på. En pårørende, en nabo eller en kollega fra en annen avdeling kan høre mer enn du tror.

Regelen er enkel: Snakk om pasienter der dere er alene, i lukkede rom eller i fora der alle har taushetsplikt — og bare med dem som trenger informasjonen for å gjøre jobben sin. Hvis du er usikker på om noen har taushetsplikt, er svaret nei.

Sosiale medier og pasientinformasjon

Det aller vanligste bruddet på taushetsplikten skjer ikke med onde hensikter — det skjer når noen deler litt for mye i en lukket gruppe eller på sin egen profil. Et bilde av «dagens søteste beboer» uten navn kan fortsatt identifisere personen gjennom tid, sted og situasjon. En kommentar om en krevende pasient uten navn kan fortsatt gjenkjennes av pårørende.

Som helsefagarbeider har du taushetsplikt også etter at vakten er over, og også etter at du slutter i jobben. Det gjelder alt du har fått vite gjennom arbeidet — uansett hvor «uskyldig» det virker.

En god tommelfingerregel: Hvis du er i tvil om noe kan identifisere en pasient, så la være å poste det. Hvis du er i tvil om en opplysning har taushetsplikt, så la være å dele den.

Svindelforsøk og e-post — stopp, tenk, meld fra

Helsepersonell blir i økende grad utsatt for svindelforsøk. Kriminelle utgir seg for å være IT-avdelingen, leverandører eller kolleger, og forsøker å få deg til å oppgi passord, åpne vedlegg eller overføre penger. Dette kalles sosial manipulering, og det virker fordi det spiller på tillit og travelhet.

Slik beskytter du deg og arbeidsgiveren din:

– Stopp opp før du klikker på lenker eller åpner vedlegg, også i e-post som ser ut til å komme fra noen du kjenner.

– Sjekk avsenderadressen nøye. «It-avdelingen@helse-support.xyz» er ikke det samme som din arbeidsgivers egen adresse.

– Aldri oppgi passord eller koder på telefon, e-post eller nettsider du er usikker på. Ekte IT-avdelinger spør aldri om passordet ditt.

– Meld fra til leder eller IT-avdelingen med en gang hvis du har klikket på noe mistenkelig. Det haster — jo raskere de vet det, jo lettere er det å begrense skaden.

Hva sier loven?

Taushetsplikten for helsepersonell følger av helsepersonelloven paragraf 21. Den slår fast at den som yter helsehjelp, skal hindre at andre får adgang eller kjennskap til opplysninger om noens legems- eller sykdomsforhold eller andre personlige forhold, ifølge Lovdata.

I tillegg kommer personopplysningsloven, som gjennomfører EUs personvernforordning (GDPR) i Norge. Den stiller krav til hvordan helseopplysninger behandles, og gir pasienter rett til innsyn i hva som er registrert om dem. Helsedirektoratet har også utarbeidet Normen for informasjonssikkerhet og personvern i helse- og omsorgstjenesten, som beskriver hvilke krav virksomhetene bør oppfylle.

Brudd på taushetsplikten kan få alvorlige konsekvenser — både for deg som arbeidstaker og for virksomheten. Det kan føre til disiplinære reaksjoner, anmeldelse og erstatningsansvar, avhengig av alvorlighetsgraden. Derfor er det viktig å kjenne reglene og følge dem i hverdagen.

Hvis noe går galt — dette gjør du

Selv den mest bevisste medarbeideren kan gjøre feil. Da er det viktigste at du melder fra raskt:

– Meld avvik etter arbeidsgiverens rutiner hvis du har mistet en telefon, sendt noe til feil mottaker eller oppdaget uautorisert tilgang.

– Varsle leder umiddelbart hvis du mistenker at pasientopplysninger har kommet på avveie.

– Ikke prøv å skjule feilen eller «fikse den selv». Jo raskere virksomheten får vite om hendelsen, jo raskere kan den begrense skade og oppfylle meldeplikten.

Å melde fra om egne feil er ikke et tegn på svakhet — det er en del av den faglige standarden i helsetjenesten. Pasientsikkerhet og informasjonssikkerhet henger sammen: Den som tør å si ifra, beskytter både pasienter og kolleger.

Datasikkerhet er en hverdagskompetanse

Studien fra Simula viser at digital sikkerhet ikke kan være noe man orienterer om en gang i året. Det må trenes og følges opp på alle nivåer — fra styret til nattevakten. Og den viktigste oppfølgingen skjer akkurat der du er: i møte med pasienten, journalen, mobilen og kollegene.

For deg som helsefagarbeider handler datasikkerhet ikke om å være teknisk ekspert. Det handler om å være bevisst på hvilken informasjon du har tilgang til, hvordan du behandler den, og hva du gjør når noe ikke stemmer. Det er en kompetanse du kan øve på hver eneste vakt — og den beskytter de mest sårbare personene du møter i jobben din.

Datasikkerhet blir stadig viktigere i takt med digitaliseringen av helsetjenesten. Les også om hvordan kunstig intelligens påvirker hverdagen din som helsefagarbeider, og hva EUs helsedataforordning (EHDS) betyr for deg.

Vanlige spørsmål om datasikkerhet for helsefagarbeidere

Får jeg bruke privat mobil på jobb?

Det avhenger av arbeidsgiverens retningslinjer. Mange arbeidsplasser tillater privat mobil i pauser, men krever at pasientopplysninger aldri behandles på private enheter. Sjekk arbeidsplassens regler, og bruk jobbtelefon eller journalterminal når du skal dokumentere eller kommunisere om pasienter.

Er det brudd på taushetsplikten å se i en journal jeg ikke har noe med?

Ja. Helsepersonelloven paragraf 21 gir taushetsplikt for opplysninger du får kjennskap til gjennom arbeidet. Å slå opp en journal uten at du skal yte helsehjelp til personen, er et brudd — selv om du ikke deler informasjonen videre.

Hva gjør jeg hvis jeg har mistet jobbtelefonen med journaltilgang?

Meld fra til leder og IT-avdelingen umiddelbart. De kan sperre tilgangen og starte arbeidet med å melde hendelsen videre. Ikke vent til neste vakt, og ikke prøv å løse det på egen hånd.

Kan jeg dele passordet mitt med en kollega i en travel vakt?

Nei. Deling av passord er aldri en god løsning. Hvis en kollega trenger tilgang, må vedkommende få den gjennom riktige kanaler — for eksempel ved å logge inn selv eller få tilgang av systemansvarlig.

Må jeg melde fra hvis jeg har klikket på en mistenkelig lenke?

Ja, med en gang. Det er aldri din feil å bli lurt av et profesjonelt svindelforsøk — men det er ditt ansvar å melde fra raskt, slik at skaden kan begrenses.

Kilder

– Sykepleien: «Forskerne advarer mot papirøvelse i arbeidet med datasikkerhet i sykehusstyrene» (18. august 2026)

– Simula Research Laboratory: pressemelding om styrearbeid og digital sikkerhet i helseforetak (18. august 2026)

– Lovdata: Helsepersonelloven paragraf 21

– Helsedirektoratet: Normen for informasjonssikkerhet og personvern i helse- og omsorgstjenesten

– Datatilsynet: Personopplysningsloven og personvernforordningen (GDPR)