Helseopplysninger på avveie - slik beskytter du pasientene som helsefagarbeider

Det er kveldsvakt på sykehjemmet. Du sitter med journalen til en beboer åpen på skjermen da en kollega fra en annen avdeling kommer bort og spør: «Kan du se hva som egentlig står om ham? Jeg kjenner familien hans privat.» Du vet at svaret skal være nei. Men hvor godt kjenner du egentlig reglene som gjelder deg, og hva du skal gjøre når noe går galt?

Spørsmålet er blitt mer aktuelt enn på lenge. Tidlig i august 2026 kom det frem at sensitive helseopplysninger om flere tusen mennesker ligger ute på det mørke nettet etter et dataangrep mot Lørenskog kommune. NRK har lastet ned 1,8 terabyte med stjålne data, ifølge Sykepleien. Materialet inneholder rundt 1400 saker fra en psykisk helsetjeneste for barn og unge, 780 loggførte samtaler med navngitte innbyggere og 264 vedtak fra barnevernet. Journalene beskriver blant annet overgrep, selvmordstanker, depresjon og vanskelige familieforhold. Opplysninger om foreldre og søsken er også med.

Datatilsynet mener opplysningene var for dårlig sikret. Kommunen valgte å ikke betale løsepenger, og materialet ble deretter publisert på det mørke nettet. Kommunen har opprettet et innsynssenter for berørte innbyggere, og Kripos etterforsker saken, ifølge Sykepleien.

For deg som helsefagarbeider betyr ikke denne saken at du skal bli redd for å bruke journalsystemer. Men den er en påminnelse om at du har en av de viktigste rollene i hele kjeden: Du er den som sitter tettest på pasienten, og du er ofte den som dokumenterer mest i hverdagen. Hvordan du håndterer opplysninger, betyr noe - hver eneste vakt.

Din taushetsplikt gjelder alltid - også digitalt

Grunnlaget for alt personvernarbeid i helsetjenesten er taushetsplikten. Ifølge helsepersonelloven paragraf 21 skal den som får opplysninger i egenskap av å være helsepersonell, hindre at andre får adgang eller kjennskap til opplysningene. Det betyr at du ikke bare skal la være å si noe. Du skal aktivt sørge for at ingen uvedkommende får tilgang - verken ved det du sier, det du skriver, eller det du lar stå åpent på en skjerm.

Taushetsplikten gjelder også etter at du har sluttet i jobben, og den gjelder når pasienten har dødd. Den omfatter alt du får vite i tjenesten: diagnoser, medisiner, familieforhold, økonomi, adresse, og ikke minst hva pasienten selv forteller deg i fortrolighet.

Brudd på taushetsplikten kan få alvorlige konsekvenser. Ifølge straffeloven kan den som gir videre opplysninger som er undergitt taushetsplikt, straffes med bøter eller fengsel. I tillegg kan brudd få arbeidsrettslige konsekvenser, for eksempel advarsel eller oppsigelse. Det er altså ikke et «pent å ha»-regelverk - det er lovfestet.

Hva skjedde i Lørenskog - og hvorfor det angår deg

Lørenskog-saken er spesiell fordi den viser hvor store konsekvenser et enkelt sikkerhetsbrudd kan få. Datatilsynet peker på at dokumentene burde vært lagret i et fagsystem med strengere tilgangskontroll, og at kostnaden ved å beskytte seg i forkant ville vært langt lavere enn kostnaden ved å rydde opp i ettertid.

Som helsefagarbeider kan du ikke kontrollere hvilket fagsystem kommunen din har valgt. Men du kan kontrollere hvordan du selv bruker det. Mange dataangrep starter med at noen får tak i en innlogging, eller at en ansatt klikker på en mistenkelig lenke. Sykepleien skriver at trusselbildet for cyberangrep mot helsetjenestene nå er på høyeste nivå. Det betyr at den enkelte ansattes bevissthet faktisk er en del av forsvaret.

Slik beskytter du opplysninger i hverdagen - konkrete rutiner

Her er tiltakene du kan bruke fra neste vakt, uten at de tar mer enn noen sekunder:

• Logg ut av journalsystemet når du forlater arbeidsstasjonen - også hvis du bare skal hente noe i gangen.
• Aldri del passord, og aldri la en kollega låne din innlogging. Hver innlogging kan spores.
• Åpne bare journaler du har tjenstlig behov for. Det er ikke nysgjerrighet som skal styre hva du leser, men pasientens behov.
• Lukk journalen eller skjermen når noen kommer bort til arbeidsplassen din.
• Ta aldri bilder eller skjermbilder av journaler, medisinkort eller pasienter. Det gjelder også «internt» på mobilen din.
• Lagre aldri pasientopplysninger på privat telefon eller privat PC. Jobbtelefon og jobb-PC skal være enerådende for tjenstlig informasjon.
• Ikke snakk om pasienter i heisen, kantinen, på gangen eller hjemme. Selv uten navn kan en historie avsløre hvem det gjelder.
• Oppbevar papirdokumenter utilgjengelig for andre, og makuler dem etter gjeldende rutiner når de skal kastes.
• Bruk bare godkjente kanaler når du sender meldinger om pasienter - aldri vanlig SMS eller private chattegrupper.
• Vær kritisk til e-post og lenker. Hvis noe ser uventet ut - for eksempel en e-post som ber deg logge inn eller oppgi passord - ikke klikk. Meld fra til IKT-ansvarlig eller leder.

Hva gjør du hvis du oppdager et brudd?

Alle kan gjøre feil. Det viktige er hva du gjør etterpå. Hvis du oppdager at opplysninger har kommet på avveie - for eksempel at du har sendt en melding til feil mottaker, mistet et dokument, eller sett noen åpne en journal de ikke skulle - skal du:

• Meld fra til nærmeste leder med en gang. Ikke vent til vaktslutt.
• Følg kommunens eller virksomhetens rutiner for avviksmelding.
• Ikke prøv å ordne opp alene ved å slette spor eller «fikse» systemet selv.
• Vær ærlig om hva som skjedde. De fleste arbeidsgivere håndterer feil best når de får vite om dem tidlig.

Å melde fra er ikke det samme som å innrømme at du er en dårlig arbeidstaker. Tvert imot: Å fange opp og rapportere et sikkerhetsbrudd tidlig kan hindre at opplysninger blir misbrukt. Det er en del av faglig forsvarlig arbeid.

Hvis din arbeidsplass blir rammet

Hvis kommunen eller virksomheten din blir utsatt for et dataangrep, vil ledelsen normalt sette i gang beredskap. Da er det flere ting du kan gjøre for å bidra:

• Følg instruksene fra leder og IKT-ansvarlig - også hvis de betyr at du må gå over til papirrutiner midlertidig.
• Ikke del spekulasjoner med kolleger, pasienter eller pårørende. Henvis til den informasjonen virksomheten publiserer.
• Vær forberedt på spørsmål fra pasienter og pårørende. Du trenger ikke ha svar på alt - det er trygt å si at du ikke vet, og henvise til kommunens informasjonskanaler.
• Fortsett å dokumentere etter gjeldende rutiner. I en krise er det ekstra viktig at det du skriver er nøkternt og faktabasert.

Kommuner og helseforetak har plikt til å håndtere slike hendelser, blant annet ved å informere berørte. Din rolle er å være en rolig og pålitelig lenke mellom ledelsen og dem du møter i tjenesten.

Vanlige spørsmål om taushetsplikt og personvern

Kan jeg se journalen til en beboer jeg kjenner privat?

Nei. Du har bare rett til å lese journaler der du har et tjenstlig behov. Å slå opp i en journal av nysgjerrighet, selv om du kjenner personen, er brudd på taushetsplikten og kan spores i systemet.

Hva gjør jeg hvis jeg får en mistenkelig e-post på jobb?

Ikke klikk på lenker, ikke åpne vedlegg og ikke oppgi passord. Meld fra til IKT-ansvarlig eller leder med en gang. Datatilsynet peker på at mange dataangrep starter med nettopp slike e-poster.

Er det lov å bruke privat mobil på jobb?

Det er ikke forbudt i seg selv, men du skal aldri ha pasientopplysninger på private enheter. Mange arbeidsgivere har egne regler for mobilbruk - følg dem. Hvis du er usikker, spør lederen din.

Gjelder taushetsplikten etter at pasienten har dødd?

Ja. Ifølge helsepersonelloven paragraf 21 gjelder taushetsplikten også etter dødsfall. Opplysningene skal fortsatt behandles med samme varsomhet.

Hva er forskjellen på taushetsplikt og personvern?

Taushetsplikten er reglene for at opplysninger ikke skal spres, og gjelder deg som helsepersonell. Personvern handler om hvordan virksomheten behandler og sikrer opplysningene - for eksempel tilgangskontroll i fagsystemer, slik Datatilsynet kritiserte i Lørenskog-saken. Begge deler skal beskytte den samme personen: pasienten.

Din rolle er viktigere enn du tror

Lørenskog-saken er en påminnelse om at helseopplysninger er blant de mest sensitive opplysningene som finnes. Når de kommer på avveie, rammer det ekte mennesker - ofte i en sårbar situasjon. Som helsefagarbeider er du en del av forsvaret rundt disse opplysningene, hver eneste dag.

De gode rutinene er enkle: logg ut, lukk skjermen, ikke del passord, ikke ta bilder, ikke snakk om pasienter utenfor tjenesten, og meld fra når noe skjer. Det krever nesten ingen tid, men det betyr alt for dem du er satt til å beskytte.

Vil du lære mer om hvordan du dokumenterer faglig forsvarlig, kan du lese vår guide om dokumentasjon og rapport i helse. Hvis du vil vite hvordan du jobber trygt når digitale tjenester er nede, finner du gode råd i denne artikkelen om Helsenorge- og e-resept-nedetid.

Kilder

• Sykepleien: Sensitive helseopplysninger om tusenvis ligger på det mørke nettet (05.08.2026)
• Datatilsynet (uttalelser i saken)
• Helsepersonelloven paragraf 21 (Lovdata)
• Straffeloven om brudd på taushetsplikt (Lovdata)
• Sykepleien: Trusselbildet for cyberangrep mot helsetjenestene