– Det är ett väldigt torftigt avtal, väldigt egendomligt. Det mest märkliga är att ansvarsförhållandena är så oerhört oklara, säger Fia Ewald, enhetschef för enheten för informationssäkerhetsarbete vid Myndigheten för samhällsskydd och beredskap (MSB).
Fia Ewald menar att eHälsomyndigheten i huvudsak säger till leverantören att det är leverantören som ska göra riskanalyser, definiera vilka säkerhetsåtgärder ska vidtas och dessutom följa upp att dessa är vidtagna.
– Man har alltså slängt bort alla de delarna som man som vanlig beställare alltid har kvar hos sig själv. Det kommer att innebära att eHälsomyndigheten kommer ha väldigt liten kontroll över säkerheten i den här relationen.
Alla ska kunna lagra uppgifter om egna hälsan
eHälsomyndigheten har fått i uppdrag av regeringen att utveckla en nya nationell eTjänst, ett elektroniskt hälsokonto där var och en kan lagra uppgifter om den egna hälsan, som exempelvis sjukjournaler och vaccinationskort. Tjänsten kommer att vara kopplad sjukvården, men det kommer att vara upp till var och en att fylla på med information.
– I dag 2015 ska vi göra det möjligt för individen att kunna få den här informationen utlämnad elektroniskt och kunna lagra den här informationen man kan säga som i en digital pärm, säger Eva Leach, avdelningschef på eHälsomyndigheten.
I nästa steg är det tänkt att man ska kunna koppla tredjepartsaktörer som hälsoappar och andra kommersiella tjänster till det personliga hälsokontot.
Microsoft bakom tjänsten
eHälsomyndigheten kommer inte själva sköta driften. I början av maj skrev myndigheten ett treårigt kontrakt med CapGemeni, värt 140 miljoner kronor och i slutänden blir det Microsoft som ska utveckla och leverera själva tjänsten, avslöjar NyTeknik. Det innebär att all information kommer att lagras på Microsofts servrar placerade på Irland. Svenskarnas information kommer att ligga på en fysisk och logisk separat enhet uppger eHälsomyndigheten.
– I Sverige gäller personuppgiftslagen men dataskyddslagstiftning är harmoniserad inom EU. Det vill säga, det är samma krav och förutsättningar som gäller i hela EU. Oavsätt om din information ligger i Sverige eller i Framkrike så har du samma dataskydd, säger Eva Leach.
Kritik från MSB
Myndigheten för Samhällsskydd och Beredskap menar att avtalet är skrivet på ett sätt som gör att eHälsomyndigheten inte kommer kunna leva upp till den säkerhet man kan förvänta sig av en myndighet och man tycker att eHälsomyndigheten ska tillbaka till förhandlingsbordet.
– Jag tycker att man borde försöka revidera avtalet och försöka få upp det här till en normal och fungerande säkerhetsnivå.
På eHälsomyndigheten håller man inte alls med om kritiken och man tycker att avtalet tydligt reglerar relationen mellan myndigheten och leverantören.
– Jag upplever inte att vi har skrivit bort vårt ansvar på något sätt, vi är de som är ytterst ansvariga och självklart gör vi våra riskanalyser, säger Eva Leach, avdelningschef på eHälsomyndigheten.
Eva Leach vill i nuläget inte svara på om det kan bli aktuellt att revidera kontraktet.
– Vi behöver ta del av den här kritiken och förstå vad den innebär.