Om en skurkstat äger din vårdcentral

Ledare Abu Dhabi köper in sig i vårdkoncernen Capio. Det reser stora frågor om säkerhet och patienters integritet.

I förra veckan lade ett internationellt konsortium ett mångmiljardbud på den australiensiska vårdkoncernen Ramsay Healthcare. I koncernen ingår Capio som driver bland annat primärvård på över 100 platser i Sverige och S:t Görans sjukhus i Stockholm. Affären är därför viktig att förstå för svenska skattebetalare. Och den borde få konsekvenser för både svensk vårdpolitik och svenska regler för vårdföretag.

På SvD:s börssidor står det tydligt att de nuvarande ägarna nu kan kapitalisera på stöd från svenska skattebetalare. Capio omsatte 13,3 miljarder och gjorde ett resultat på 1,3 miljarder. En av orsakerna var att bolaget fick ”statlig ersättning i regionen för både förlorade intäkter och ökade kostnader förknippade med covid-19, främst i Sverige”.

Regelverket behöver skärpas 

Nu handlar den här frågan inte bara om vinst för skattepengar, som skulle gått till vård som är viktig här. Vårdverksamheter hanterar också stora mängder känslig personinformation. Det är inget nytt att det finns utländska ägare, men i och med att staten Abu Dhabi har ägarintressen i det konsortium som lagt bud på Ramsay Healthcare måste frågan ställas på sin spets.

Vilka är riskerna med att utländska stater via ägande i vårdbolag kan få tillgång till uppgifter om svenska medborgares hälsotillstånd?

Vad händer om en skurkstat får tillgång till detaljerade uppgifter om svenska ledares eller medborgares sjukdomshistorik?

Men sådant har vi väl ändå regler för? Jo, men vår lagstiftning är dåligt anpassad för verksamheter som drivs av vinstintresse och som ägs av internationellt kapital eller till och med främmande makt. Informationssäkerhetsexperten Fia Ewald har visat att det finns gott om exempel på hur integritetsfrågorna kommer i skymundan när det gäller storskalig hantering av digitaliserad patientinformation. Integritetsmyndigheten (tidigare Datainspektionen) riktade 2019 skarp kritik mot hur dåligt skyddade patienternas journaler var vid Capio S:t Görans sjukhus och utdömde böter på 30 miljoner kronor. Mycket pengar, men ändå småpotatis för en verksamhet som omsätter 13 miljarder.

Lagen ger också stor frihet till regionerna att själva definiera hur patientjournaler hos privata vårdföretag ska hanteras. I Uppsala måste de privata utförarna använda samma journalsystem som regionens egna verksamheter. I Stockholm finns inget sådant krav eftersom det anses hindra innovation. Där är också är förtroendet för de privata vårdgivarnas hantering av journaler stort. Inte ens när ett privat vårdföretag lägger ned tar regionen kontroll över informationen utan den privata vårdgivaren (som alltså lagt ned) förväntas förvara journalerna säkert i 10 år. Med vårdföretag som köps och säljs långt utanför Sveriges gränser är det uppenbart att riskerna med det är stora. Regelverket för både ägande av vårdverksamheter och hanteringen av patientdata behöver skärpas.