Den svenske psykiatriske virksomhed WeMind med klinikker i Stockholm og Göteborg har jokket godt og grundigt i spinaten, efter at en række it-problemer er gået hånd i hånd over længere tid.
Kulmination på problemerne mod slutningen af sidste år var, at selskabet udsendte en massemail til knap 2.000 psykisk syge patienter, hvor deres navne ikke lagt ind i den anonyme bcc-felt.
Det betød, at modtagerne af masseudsendelsen kunne se hinandens navne og mail-adresser.
Konsekvensen har været, at en psykisk patient har gjort skade på sig selv, mens en anden patient fik forværret sine lidelser og afbrød behandlingen.
Seks andre patienter stoppede også deres behandling efter mail-miseren, skriver Computerworlds svenske søsterblad IDG.se.
Ødelagt it-system baner vejen
En såkaldt lex Maria-anmeldelse har afsløret mail-brøleren.
Lex Maria er det svenske sundhedssystem anmeldelsespligt, der er opkaldt efter en episode i 1930'erne, hvor fire patienter på Maria Hospital i Stochholm døde, efter de havde modtaget indsprøjtninger med desinfektionsmiddel i stedet for bedøvelse.
I den aktuelle sag gik problemer med WeMinds mødebooking-system forud for mail-brøleren. Problemerne med systemet betød, at patienterne ikke dukkede op til de bookede tider.
Klinikapplikationen til patientbesøg spillede sammen med Googles kalender, men det viste sig, at Google ikke længere understøttede import af sessioner fra kalderen til klinikapplikationen.
Derfor måtte patienterne oplyses på mail om, at der i den kommende tid ikke ville blive udsendt bookingbekræftelser eller påmindelses-sms'er.
Her opstod den grove fejl med modtagernes navne.
"Da modtagerne af mailen åbnede for posten, kunne de se de øvrige modtagere i adressevinduet. Berørte patienter har således kunnet se mailadresserne til en række andre patienter på klinikken, og hemmeligholdelsen var altså væk," skriver WeMind i sin lex Maria-anmeldelse i følge iDG.se.
Flere årsager til fejl
WeMind giver i anmeldelsen flere bud på, hvorfor det kunne gå så galt.
Den hyrede it-konsulent, der skulle fikse bookingsystemet, tænkte tilsyneladende ikke på, hvor vigtigt det var holde modtagerne hemmelige for hinanden.
Den ansvarlige chef kontrollerede ikke, at fortroligheden blev opretholdt, og fejlen skete desuden, da virksomheden var under stort tidspres.
"Vi ser meget alvorligt på forløbet. Fortrolighed i vores verden er ekstrem vigtig," lød det fra WeMind-chefen Urban Petterson i december.
Oven på hele forløbet er den hyrede it-konsulent sat på porten.
WeMind skal selv i gang med at undersøge sikkerheden i sin klientapplikation med massevis af personfølsomme da, da applikationen ligger på en hjemmeside, som kun er beskyttet af brugernavn og password.
Læs også:
Dansk læge bygger nyt it-system - sladrer om sygdom hos patienterne
