Studenter oppdaget problematisk bruk av video
De fleste video-opptakene det gjelder, har fokus på studentenes kommunikasjon med pasienter, og er blitt brukt i gruppeundervisning for å gjøre studentene bedre i stand til å møte pasienter på en god måte. UiT har interne rutiner som har sikret at pasientene har gitt sitt samtykke til bruk av opptak i undervisningssammenheng. Studenter har også taushetsplikt, og er ifølge retningslinjene forpliktet til å slette opptak rett etter bruk.
Teknologisk utvikling skapte sikkerhetshull
Sikkerhetshullet som er avdekket, er knyttet til at studenter i seinere år har kunnet bruke eget utstyr, og videoene kan utilsiktet ha blitt lagret i eksterne skytjenester på nett. Dette fordi det nå er standard å ha nettforbindelse overalt, og via lagringssteder som Dropbox og iCloud, kan lagring av data skje automatisk, avhengig av hvilke innstillinger utstyret har. Risikoen for at sensitive personopplysninger kan ha kommet på avveie, er imidlertid liten. Da problemet ble oppdaget, ble alle involverte studenter bedt om å slette video-materiale, og de fikk også informasjon om hvordan dette skulle gjøres på en sikker måte.
IT-direktør Stig Ørsje ved UiT sier ingenting tyder på at utenforstående har fått tilgang til sensitiv informasjon.
– Hvordan ser du som IT-direktør på situasjonen som har oppstått?
– Dette har oppstått over tid og er knyttet til teknologisk utvikling. Data flyter lettere enn før, og selv om utdanningene har hatt gode rutiner og opplæring av studentene, har man ikke fanget opp de utfordringene den teknologiske utviklingen har skapt. Det store fokuset vi som institusjon har hatt på å utvikle gode tjenester for sikker lagring av sensitive forskningsdata, har nok hittil ikke vært fulgt opp like sterkt på utdanningssiden, konkluderer Stig Ørsje.
Takker årvåkne studenter
Det var i november i fjor at to medisinstudenter ved UiT på eget initiativ tok kontakt med Datatilsynet. Dette fordi de lurte på om UiTs praksis med å la studenter bruke eget utstyr til å gjøre video-opptak med pasienter, var i orden med tanke på personvern og sikkerhet. Studentenes forespørsel avdekket etter hvert at UiT ikke hadde konsesjon for å kunne bruke denne typen videomateriale i undervisning i henhold til Personopplysningsloven som trådte i kraft i 2001, og at datasikkerheten heller ikke har vært godt nok ivaretatt.
– Vi er svært bevisste når det gjelder å ha nødvendige konsesjoner innen forskning, men har dessverre ikke vært like bevisste når det gjelder undervisning. Dette må vi bare beklage på det sterkeste, sier Inger Njølstad, prodekan for utdanning i medisin og odontologi ved UiT.
– Jeg er veldig glad for at dette ble oppdaget, og er stolt over at vi har studenter som tar ansvar, er vitebegjærlige og som ikke er redde for å varsle. Jeg berømmer studentene for at de tok kontakt med Datatilsynet, og deretter varslet oss slik at vi kunne ta fatt i saken, sier Njølstad, som også har takket studentene personlig.
Jobber med søknad om konsesjon
Datatilsynet fikk raskt informasjon om hva som hadde skjedd da manglene ble oppdaget på tampen av fjoråret. Nå har UiT nettopp sendt Datatilsynet utfyllende informasjon etter at avvikshåndteringa er blitt ferdigstilt, og UiT jobber også med å utarbeide søknad om konsesjon. Målet er å kunne ta i bruk video i undervisninga igjen fra høsten.
– Video-opptak er veldig godt egnet for undervisning hvor studentene skal lære om egne kommunikasjonsferdigheter fordi både verbal og non-verbal kommunikasjon blir fanget opp. Derfor vil vi gjerne fortsette å bruke video, forteller Inger Njølstad.
En forutsetning for å kunne få konsesjon, er at datasikkerheten blir godt nok ivaretatt. Ifølge juridisk seniorrådgiver Camilla Nervik i Datatilsynet, er det viktig å ha gode interne rutiner for å vurdere risiko og avdekke og følge opp eventuelle feil og mangler knyttet til håndtering av data. Datatilsynet har hjemmel for å kunne gi bøter ved brudd på personvernlovgivningen, men det er ikke avklart om UiT vil få bot i dette tilfellet.
Konsesjonskrav forsvinner fra mai 2018?
– Det vil bli ny personvernforordning fra 25. mai neste år, og vi vet ikke om dagens konsesjonsordning vil fortsette eller forsvinne. Kravene til den enkelte virksomhets selvkontroll vil derimot øke. Det vil som regel ikke være mulig å få en situasjon med null risiko med hensyn til datasikkerhet og personvern, men institusjonene må sørge for å gjøre tiltak som kan redusere risikoen mest mulig, forklarer Nervik.
Ved UiT har både profesjonsutdanninga i medisin og fem andre helseutdanninger gjennomført videoundervisning som inkluderer sensitive personopplysninger, og som derfor trenger konsesjon. Ved fire av disse utdanningene er det gjort opptak med studenters eget utstyr, og UiT konkluderer med at datasikkerheten her ikke er godt nok ivaretatt siden informasjon kan ha blitt lagret til private skytjenester.
Lang tradisjon for bruk av video
Undervisning gjennom video-opptak har vært i bruk ved UiT siden 1980-tallet. På 2000-tallet, lot UiT studentene selv gjøre videoopptak med datidens videokamera og VHS-teknologi. De siste årene er det blitt innført en ny praksis med at studenter kunne bruke egne, private bærbare datamaskiner. Noen studenter kan også ha brukt iPad eller mobiltelefon. Siden 2012, har studenter ved UiT gjort mer enn 4000 videoopptak med pasienter eller simulerte pasienter (rollespill hvor for eksempel medstudenter har spilt pasienter). De fleste opptakene er knyttet til profesjonsstudiet i medisin.
Opptakene er blitt fortløpende slettet, og det eksisterer ikke noen oversikt over deltakerne. Derfor er det ikke mulig for UiT å informere involverte pasienter direkte.
– Vi beklager situasjonen som har oppstått, spesielt overfor de som har latt sin konsultasjon bli filmet for å bedre kvaliteten på utdanningen til våre studenter, sier prodekan Inger Njølstad.
UiT har også sendt ut pressemelding om saken, se UiT har brutt konsesjonsplikten
