Journalen ligger i skyen – hvad skal lægehuset stadig selv håndtere?

Leverandøren af et cloudbaseret journalsystem står typisk for drift, servere og opdatering af selve systemet. Lægehuset står stadig for alt omkring det: computerne, der åbner journalen, internetforbindelsen og netværket, hvem der har adgang og hvordan de logger på, mail, lokale filer og scannede dokumenter – og for at have styr på aftalen med leverandøren. Som dataansvarlig kan praksis ikke overlade ansvaret, kun opgaverne.

Kort fortalt

• Cloud flytter driften af systemet, ikke ansvaret for data, brugere og enheder.
• Computere, net, adgange, mail og lokale filer er stadig klinikkens opgave.
• En databehandleraftale er ikke nok i sig selv – praksis skal også føre tilsyn med leverandøren.
• Planlæg, hvad I gør, når internettet eller journalen er nede.

Det delte ansvar: hvem passer hvad?

Microsoft beskriver cloud med en model for delt ansvar. Ved færdige cloudprogrammer (SaaS) står leverandøren for datacentre, servere, netværket i datacentret og styresystemet. Men kunden beholder altid ansvaret for egne data, for de enheder, der bruges til at tilgå tjenesten, for brugerkonti og for adgangsstyring – herunder MFA og regler for, hvem der må logge på hvorfra.

Datatilsynet peger på det samme fra databeskyttelsens side: Jo flere opgaver der overlades til en cloudleverandør, jo mere skal den dataansvarlige sikre sig, at leverandøren løfter dem korrekt. Og når en opgave flyttes ud, skal praksis genbesøge sin egen risikovurdering, fordi opgavefordelingen – fx omkring adgangsstyring – har ændret sig.

Computerne, der åbner journalen

Et cloudsystem er aldrig mere sikkert end den computer, man logger på fra. En inficeret pc i receptionen kan opsnappe adgangskoder eller sessioner, uanset hvor godt leverandørens datacenter er beskyttet.

Derfor bør alle computere, der bruges til journalen, være opdaterede, have krypteret disk og aktiv beskyttelse og helst være styret centralt. Vi har samlet det i artiklen om central sikkerhedsstyring i lægehuse.

Husk også det udstyr, der hænger på computerne: kortlæsere, scannere, labelprintere og måleudstyr. Driverne og programmerne til dem skal også holdes opdaterede, og det er sjældent journalleverandørens opgave.

Internet og netværk bliver kritisk infrastruktur

Når journalen ligger i skyen, er internetforbindelsen det, der står mellem lægen og patientens oplysninger. Falder forbindelsen ud, står klinikken stille, selv om journalsystemet kører fint.

Vores vurdering: For de fleste lægehuse er en reserveforbindelse (fx en mobil 4G/5G-forbindelse, der automatisk overtager) og en router med firewall, der er opdateret og ikke kører med standardadgangskode, mere værd end hurtigere fiber. Patienternes gæstenet bør være adskilt fra klinikkens eget net.

Aftal på forhånd, hvad der sker, hvis journalen ikke kan nås: Hvem kontakter leverandøren, hvordan noteres konsultationer i mellemtiden, og hvordan føres de ind bagefter?

Adgange: hvem må se hvad – og hvem er stoppet?

Journalsystemet har sine egne brugere og roller, men det er praksis, der beslutter, hvem der skal have adgang, og som skal huske at lukke den igen. Det gælder både læger, sekretærer, sygeplejersker, vikarer og uddannelseslæger.

Logger I på journalen med jeres Microsoft-konto (single sign-on), bliver Microsoft 365-kontoen nøglen til alt. Så skal den beskyttes ekstra godt med MFA, og en fratrædelse skal lukke kontoen samme dag.

• Én personlig konto pr. medarbejder – ingen fælleslogin.
• MFA på alle konti, der giver adgang til journal, mail eller dokumenter.
• Fast procedure ved ansættelse og fratrædelse, også for vikarer. Se on- og offboarding.
• Gennemgå jævnligt listen over brugere i journalsystemet og i Microsoft 365.

Mail og lokale filer er stadig jeres

Selv om journalen er i skyen, er der næsten altid patientoplysninger andre steder: i mails med henvisninger og svar, i scannede dokumenter i en mappe på skrivebordet, i regneark med lister og i Overførsler-mappen.

Datatilsynet vurderer, at kryptering som udgangspunkt er passende, når fortrolige og følsomme personoplysninger sendes med mail over internettet. Det har vi beskrevet i artiklen om sikker mail i lægehuse og klinikker.

Lokale filer bør flyttes til et styret sted (fx OneDrive eller SharePoint med adgangsstyring) eller slettes, når de er ført ind i journalen. Journalleverandørens backup dækker journalen – ikke jeres mail, OneDrive eller lokale mapper. Tag derfor stilling til backup af dem for sig. Se Microsoft 365-backup.

Aftalen med leverandøren: databehandleraftale og tilsyn

Journalleverandøren behandler patientoplysninger på praksis’ vegne og er derfor typisk databehandler. Datatilsynet understreger, at det ikke er nok at have en databehandleraftale: Den dataansvarlige skal også føre tilsyn med, at aftalen overholdes, herunder de aftalte sikkerhedsforanstaltninger. Ved følsomme oplysninger om mange personer kan fx en uafhængig revisorerklæring være en passende form for tilsyn.

Datatilsynets vejledning om cloud lægger desuden vægt på, at praksis kender kæden af underleverandører og kan få dokumentation for, at de også lever op til kravene.

• Hvem tager backup af journaldata, hvor ofte, og hvor hurtigt kan der gendannes?
• Hvordan og hvor hurtigt får praksis besked ved et sikkerhedsbrud hos leverandøren?
• Hvilke underleverandører bruges, og i hvilke lande behandles data?
• Hvilken dokumentation (fx revisorerklæring) stiller leverandøren til rådighed hvert år?
• Hvordan får praksis sine data ud, hvis aftalen ophører?

Når noget går galt: hvem gør hvad?

Ved et nedbrud eller en sikkerhedshændelse er det ofte uklart, om problemet ligger hos journalleverandøren, internetudbyderen, IT-partneren eller i klinikken. Skriv på forhånd ned, hvem I ringer til i hvilken situation, og læg listen et sted, hvor den kan findes, selv om computerne ikke virker.

Sikkerdigital.dk har en skabelon til en nødplan for virksomheder med under 50 ansatte, som anbefaler at printe planen og placere den, hvor alle medarbejdere kan finde den. Se også IT-beredskabsplan.

Spørgsmål og svar

Kilder (tjekket oktober 2026): Shared responsibility in the cloud – Microsoft Learn · Rollefordeling: Dataansvarlig og databehandler – Datatilsynet · Vejledning om cloud (marts 2022) – Datatilsynet · Ny vejledning: Sådan kan du føre tilsyn med dine databehandlere – Datatilsynet · Sikker transmission – Datatilsynet · Nødplan ved cyberangreb – Sikkerdigital.dk