Det började med att en planerare på hemtjkänsten i Göteborg i december förra året bestämde sig för att ta bort Youtube-appen från arbetstelefonerna hos de anställda. Hen beslutade då att ta bort allt som inte hade på en jobb/larmtelefon att göra.
”Då hamnade jag i en mapp med bilder och såg en undermapp som hette ”senast raderade”. Den innehöll fjorton bilder av olika QR-koder som tillhör olika vårdtagare i området.”, skriver planeraren i sin anmälan.
En QR-kod är en bild för optisk avläsning. När man läser av den med kameraappen på sin telefon är det lätt hänt att det tas ett foto om man kommer åt knappen samtidigt som avläsning sker. De som behöver hemtjänst har en sådan bild/etikett i sin lägenhet. Vid in- och utcheckning ska hemtjänstpersonal scanna koden med jobbmobilen. Därmed kan man visa när brukaren fått besök, hur länge någon varit där och att rätt debitering görs.
– När vi gjorde anmälan kontrollerade vi att alla brukare som skulle ha fått hjälp hade fått det, och ingen har larmat om att den inte skulle ha fått sitt besök, säger Anna Engström Celik som är verksamhetschef för Hemtjänst Sydväst i Göteborg.
Lätt att manipulera
Men planerarens upptäckt visar att systemet är lätt att manipulera, något som bekräftas av Göteborgs stad i anmälan. Hen skriver också i sin anmälan att detta pågått i andra stadsdelar tidigare. Flera av de upptäckta bilderna var enligt anmälaren uppenbart foton på mobilskärmar. Med andra ord: Om hemtjänstpersonal vid ett besök tagit en bild av QR-koden med sin privata mobil kan man nästa gång helt enkelt scanna den bilden utan att behöva besöka brukaren. På det sättet kan teoretiskt sett personal systematiskt strunta i besök hos enskilda personer.
– Vi ville synliggöra att det finns en risk för att systemet utnyttjas. Vi har en dialog med Göteborgs stads intraservice som vet att det finns en anmälan sedan tidigare och man har en dialog med leverantören av systemet om hur det kan bli mer säkert, säger Anna Engström Celik.
Anmälan till Ivo gäller alltså ”risk för allvarliga missförhållanden” och det finns inte bevisat att någon brukare ska ha drabbats av detta. Ingen medarbetare har erkänt att systemet utnyttjats och ingen står anklagad för en brottslig handling. Däremot beklagar man att systemet inte är helt säkert och betonar att det är just därför man gjort en anmälan.
– Vi har andra kontrollsystem där vi gör avvikelserapporter om någon säger att de inte fått besök av oss, säger Anna Engström Celik.
Måste vara säkert
I anmälan till IVO betonas att systemet helt enkelt måste vara säkert, både för de medarbetare som använder det och för de enskilda som får sina insatser registrerade.
Den utredning som föregick anmälan säger att liknande manipulation skett i minst ytterligare en stadsdel tidigare. Ett problem är just att systemet används i Göteborg Stads alla stadsdelar, och därför inte kan hanteras i bara den stadsdel där det nu upptäcktes.