Samma dag som jättejournalsystemet togs i bruk med början i Borås inledde Läkemedelsverket en granskning av Millennium.
Trots att EU:s regelverk kräver en säkerhetsklassning som heter ”2a” för sådana här patientkänsliga system i den gemensamma databasen Eudamed, är Millenniums delar bara klassade där på den lägre nivån, ”1”.
Tillverkaren Oracle har inte heller registrerat sig hos det svenska Läkemedelsverket på förhand. Först under natten mot tisdagen kunde myndigheten bokföra en senkommen handling från Oracle. Allt detta har DN uppmärksammat i flera artiklar.
På en pressträff med regionledningen på tisdagen säger Boel Mörck, som leder Millenniums programstyrgrupp, att hon trots det som avslöjats litar på den amerikanska leverantören.
– Ja, om de inte lever upp till det vi upphandlat blir det ganska stora viteskrav, så det skulle tala emot att de gör nånting som inte är korrekt. Men jag har personligen inte varit inne i Eudamed och kollat hur det ser ut, det har vi andra som gör.
Men jag har kollat. Det är klass 1. Då betyder väl det att de inte lever upp till det ni köpt av dem?
– Nej, det gör det inte. Skillnaden mellan ett och två är egentligen bara att där finns det en extern granskare.
Det är väl inte så ”bara”? Att systemen är granskade av en utomstående behövs ju för just den här typen av känsliga system.
– Ja, om det är någon del som man kommer fram till att det behöver göras för, så får de se till att göra det, säger Boel Mörck.
Från och med nu, med start i Borås, börjar alltså känslig information om 1,7 miljoner invånare i Västra Götaland läggas över i ett system som inte kvalitetsgranskats av någon annan än tillverkaren själv. Trots att det avviker från standarden i EU:s regelverk, anser Boel Mörck att det inte är en fråga för henne att besvara.
– Jag känner fortfarande att det är en fråga för Oracle.
Men de har ju inte patientansvaret?
– Vad gäller det har vi i många år arbetat tillsammans och designat detta, så där känner jag att vårdgivaransvaret har vi ganska god koll på. Vi vet vad det är vi använder.
Men om det står i regelverket att man ska ha minst 2a, och man ser direkt att det inte är det. Hur kan ni acceptera och betala för det?
– Ja, ibland förstår man inte hur så här stora amerikanska företag fungerar. Det är tröga processer. Allt ska gå tillbaka till USA innan de får säga nåt över huvudtaget.
Vad tycker du om att de först efter att vi på DN började ställa frågor hörde av sig till Läkemedelsverket?
– Ja, vad ska man tycka?
Eller att de i helgen la in den sista systemdelen i Eudamed, i fel klass?
– Ja, om det är som du säger så är det förstås lite… jag vet inte vad jag ska säga. Vi har upphandlat ett system som ska följa svenska lagkrav. Och vi förväntar oss att leverantören gör det och vi har påpekat det igen nu flera gånger. Har ni allt under kontroll? Och de säger ”ja”.
Men det är jättelätt att se att de inte har rätt klass. Varför nöjer ni er på den nivån när det är så viktigt?
– Det är upp till Oracle att besvara.
Inte var ni drar gränsen väl?
– Nä, men vi har begärt ett svar från dem och det väntar vi fortfarande på, säger Boel Mörck.
DN har i flera dagar sökt Oracle för en intervju. I ett mejl i lördags skrev Nordenchefen Mike Pomerance att ”de funktioner som finns tillgängliga för VGR och som är medicintekniska produkter är CE-märkta i EU enligt gällande krav”.
