Ein Pharmaziestudent im vierten Jahr, der ein Praktikum in einer Drogerie in Regina absolvierte, wurde dabei erwischt, wie er die Krankenakten von 114 Personen durchforstete, die nicht in seiner Obhut waren.
Laut einem neuen Bericht des Datenschutzbeauftragten der Provinz Ron Kruzeniski hat ein Student der University of Saskatchewan (U of S), der an der Hill Avenue Drugs Pharmacy arbeitet, über das Pharmacy Information Program (PIP) und den Electronic Health Record Viewer (eHR) auf die Aufzeichnungen von Personen zugegriffen.
Der Student wurde von der Apotheke entlassen und Kruzeniski sagte, das College of Pharmacy and Nutrition der San Francisco State University, eHealth Saskatchewan und das Gesundheitsministerium hätten das Fehlverhalten nicht ordnungsgemäß gemäß vier Best-Practice-Schritten angegangen.
Das Praktikum des Studenten in der Apotheke beginnt am 6. Mai 2024 und dauert bis zu seiner Entführung aus dem Gebäude am 25. Juni.
Laut Kruzeniski erwischte ein Apotheker den Studenten dabei, wie er mit sich selbst redete, und sagte angeblich: „Oh, er lebt noch.“
„Der Student wurde gefragt, wen er untersuchte, und er schloss sofort eine Reihe von Patientensuchen ab. Nach der Prüfung wurde festgestellt, dass der Student Patienten untersuchte, die keine Apothekenkunden/-patienten waren. Die Überwachung begann fünf Tage nach der Unterbringung des Studenten“, heißt es in dem Dokument.
Dem Dokument zufolge wurde der Zugang der Studenten zum PIP und zum eHR am 26. und 27. Juni widerrufen, es wurde jedoch nicht festgestellt, ob Papierkopien mit unangemessenen Informationen erstellt wurden.
Im Juli seien Briefe an 109 Personen verschickt worden, in denen sie darüber informiert wurden, dass auf ihre Informationen unrechtmäßig zugegriffen worden sei, sagte Kruzeniski. Es wurde bestätigt, dass fünf Personen, auf deren Informationen zugegriffen wurde, gestorben sind.
Kruzeniski gab insgesamt vier Empfehlungen ab, um ähnliche Datenschutzverletzungen in Zukunft besser anzugehen.
Die gegebenen Empfehlungen sind:
- Dass die Universität S innerhalb von 30 Tagen nach Veröffentlichung dieses Untersuchungsberichts die Studentenvermittlungsvereinbarung mit Herrn ändern muss. Gilbertson und allen zukünftigen Treuhändern, sodass in der Vereinbarung festgelegt wird, wie mit Datenschutzverletzungen umgegangen wird und welche Erwartungen/Verantwortlichkeiten die U of S und die Treuhänder in solchen Situationen haben.
- Dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Untersuchungsberichts Herr Gilbertson entwickelt Richtlinien und Verfahren, die Abschnitt 16 des HIPA entsprechen. Diese Richtlinien und Verfahren müssen die Überwachung und Prüfung des Studentenzugriffs in PIP und eHR Viewer vor Ort umfassen.
- Künftig bietet eHealth den Zugriff auf eHR Viewer nur im Rahmen der mit der Website verbundenen APO, nicht in den USA (mit Ausnahme von Rotationen in Krankenhäusern).
- Innerhalb von 30 Tagen nach der Veröffentlichung dieses Untersuchungsberichts überprüften U of S, Health und eHealth das aktuelle Verständnis der Verantwortlichkeiten für die Aufsicht, den Schutz persönlicher Gesundheitsinformationen im System und die Rolle jeder Partei im Falle einer künftigen Datenschutzverletzung Einsatz. Dieses Verständnis muss in Vereinbarungen oder Richtlinien und Verfahren schriftlich festgehalten werden, damit es für alle Parteien klar ist.
