[7] TILLÄMPNINGSOMRÅDE Rutinen gäller för hälso- och sjukvårds dokumentation enligt patientdatalagen

Transkript

1 [7] Rutin för informationssäkerhet gällande omvårdnadsjournal inom kommunal hälso- och sjukvård (MC) och användning av NPÖ Det ska finnas en rutin som säkerställer att det finns en hög informationssäkerhet när det gäller system för hälso- och sjukvårds dokumentation. Det ställer också krav på oss som sjukvårdshuvudman att ha säkra rutiner när vi tar del av information från annan huvudmans dokumentation via NPÖ. Följande regelverk ska man ta hänsyn till Patientdatalagen (SFS 2008:355) och patientdataförordningen (2008:360) samt socialstyrelsens föreskrifter (SOSFS 2008:14) reglerar hur hanteringen ska ske av både verksamhetssystem och NPÖ. Även annan lagstiftning påverkar området så som Tryckfrihetsförordningen(1949:105), Offentlighets- och sekretesslagen(2009:400) Personuppgiftslagen (1998:204) TILLÄMPNINGSOMRÅDE Rutinen gäller för hälso- och sjukvårds dokumentation enligt patientdatalagen ORD OCH BEGREPP MC Magna Cura som är verksamhetsystem för hälso- och sjukvårdsdokumentationen NPÖ Nationell Patient Översikt är det system där vi via sammanhållen journal kan inhämta information om en vårdtagare från en annan sjukvårdshuvudman. Det innebär att legitimerad personal inom kommunal hälso- och sjukvård efter samtycke från vårdtagaren kan ta del av information från regionens journalsystem om vilka åtgärder som genomförts eller planerats. Syftet är Att ha en hög patientsäkerhet som säkerställer att dokumentationen är åtkomlig och användbar för den som är behörig(tillgänglighet) uppgifterna är riktiga(riktighet) obehöriga ska inte kunna ta del av journaluppgifter(sekretess) det finns möjlighet att i efterhand entydigt kunna härleda åtgärder till en identifierad användare(spårbarhet) ROLLER Socialnämnden Vårdgivaren i detta fall socialnämnden ska ha utsett vilka som ansvarar för informationssäkerhetsarbetet. Vårdgivaren ska minst 1g/år få rapport om vilka åtgärder som man har vidtagit. Systemansvarig har detta uppdrag. Rapporten ska innehålla: - Granskningar som man har gjort, resultat och vilka skyddsåtgärder av större betydelse som man har vidtagit. - Riskanalyser avseende informationssäkerhet. - Förbättringsåtgärder som man har vidtagit.

2 [7] Verksamhetschef/Socialchef Verksamhetschef har ansvar för att rutiner för informationssäkerhet tillämpas och följs i verksamheten. - Uppföljning av patientuppgifternas kvalitet och ändamålsenlighet och att det finns en plan för uppföljning av granskningar, skyddsåtgärder, riskanalyser och förbättringsåtgärder som ska ske varje verksamhetsår. - Att utdelade behörigheter är ändamålsenliga och förenliga med aktuella arbetsuppgifter - Att berörd personal har fått information om de bestämmelser som gäller för hantering av patientuppgifter - Uppföljning av informationssystemens användning genom regelbunden kontroll av loggar IT-chef IT-chef har ansvar för att de tekniska lösningarna är säkra så att vårdgivaren kan leva upp till kraven på tillgänglighet, riktighet, sekretess och spårbarhet. Har också ansvar för att det finns säkra lösningar vid ev. serverhaveri så att information kan nås och återskapas från backup. IT- avdelningen är ansvarig för att överföringen av patientuppgifter görs på ett säkert sätt så att ingen obehörig kan ta del av uppgifterna och att åtkomsten till uppgifterna föregås av stark autentisering. IT-avdelningen ansvarar för att backup lösningar garanterar tillgängligheten för journaler och för att bärbar datorutrustning/ipad är säkrad så att information inte kan komma på villovägar, samt att informationen är spårbar. Dokumentationen ska också kunna sparas i verksamhetsystemet i IT-miljön i minst 10 år och vara återläsbar enl. det regelverk som finns. Man ska också efter uppmaning från socialstyrelsen kunna utplåna information i systemen. Hänvisning till Systemsäkerhetsplanen. MAS Har ansvar för det finns rutiner för att omvårdnadsdokumentation sker enligt patientdatalagen och i den omfattningen att åtgärder i vården kan följas. Programområdeschef Har ett övergripande ansvar för att man följer de rutiner som finns när det gäller behörigheter och att loggkontroller görs och ev. riskanalyser genomförs vid förändringar som påverkar IT-säkerheten Systemansvarig Systemansvarig har ansvar för att rutiner följs så att en hög informations säkerhet finns. Att behörigheter tilldelas och tas bort på ett säkert sätt och att loggar körs. Samt att en rapport skrivs till verksamhetschef/socialnämnd varje år

3 [7] Områdeschef Områdeschef ansvarar för sin personal inom sitt område och följer upp att rutiner är kända och följs. Detta gäller även när personal har läst/skrivit journal inom annan verksamhet eller läst journal inom annan vårdgivare (sammanhållen journalföring)npö. Personal som använder systemen ska ha fått utbildning i regelverk och de rutiner som gäller innan de använder systemet. OC ansvarar för att vidta åtgärder om avvikelser upptäcks. Systemansvarig ska informeras om vilken behörighet en personal ska ha eller när den ändras eller upphör. Innan tilldelning av behörighet ska man ha gjort behovs och riskanalys. OC ansvarar för att gå igenom de logglistor som systemansvarig tar fram och kontrollera relevansen i användningen och dokumentera detta. Dokumentationen sparas i 10 år. Ansvar för Hälso- och sjukvårdspersonal och andra befattningshavare. - Att förvara lösenord och kort så de inte blir tillgängliga för obehöriga. - Att datorer eller andra informationsbärare inte lämnas så att patientuppgifter blir tillgängliga för obehöriga. - Att endast ta del av patientinformation när man har vårdrelation/dvs. deltar i vården eller av annat ändamål som anges i 2 kap 4-5 patientdatalagen 2008: När det finns spärrade uppgifter ska det framgå i journalen att det finns spärrade uppgifter hos vårdgivaren, eller annan vårdgivare. RUTINER Informationssäkerhet: Standard som tillämpas av vårdgivaren är SS-ISO/IEC 27001: 2006 riktlinjer för styrning informationssäkerhet SS-ISO/IEC27002:2005 Tillgänglighet: Patientuppgifter ska vara tillgängliga 24 timmar/dygnet. Detta krävs, - supportorganisation som skriftligt har klargjort till vem man vänder sig till när tillgänglighetsproblem uppstår, för Magna Cura (MC) och NPÖ - att det finns system för backup om någon form av haveri uppstår med tidsangivelse för när informationen kan vara nåbar. Att det finns tekniska lösningar som gör att obehöriga inte ska kunna ta del av uppgifter, t ex skärmsläckare, låsningar m.m. - att loggar görs efter angiven rutin för både Magna Cura och NPÖ - att det ska vara stark autentisering (SHITS-kost) innan åtkomst av journal/npö - överföring av patientuppgifter sker på ett säkert sätt genom Sjunet.

4 Behörigheter: - behörigheter ska begränsas till vad som är god och säker vård - alla behörigheter ska vara individuella [7] - tilldelningen av behörigheter ska föregås av en behovs och riskanalys, utifrån de arbetsuppgifter som ska utföras - det ska finnas kända rutiner för: tilldelning, förändring, borttagning och uppföljning av behörigheter Dokumentation i patientjournal Dokumentationen i MC(Magna Cura) sker idag enligt VIPS-modellen och med vårdplaner. (Under beräknas vi gå över till ICF struktur på dokumentationen. )Alla uppgifter signeras. De uppgifter som inte måste kunna läsas akut har en signeringsfrist. Detta för att möjlig göra att t ex att vårdplaner kan skrivas sammanhängande. Dokumentationssystemet säkerställer att uppgifter inte kan tas bort. Eventuella ändringar framgår alltid. Personuppgifter finns i systemet och hämtas direkt från Skatteverkets Befolkningsregister. För användning av NPÖ krävs att användarna utbildas i Patientdatalagen Rutiner och samtycke Rutiner för åtkomst och behörigheter Praktisk hantering av NPÖ Loggrutiner Genomgång av ansvarsförbindelse. Användarna skriver under ansvarsförbindelse till NPÖ som förvaras i personalakt, samt behörighetsblankett för IT-system Återkomst till patientuppgifter vid sammanhållen journalförning(npö) Förutsättning för att ta del av uppgifter hos annan vårdgivare är att det föreligger - en aktuell vårdrelation - att det finns ett behov av uppgifterna - att samtycke har inhämtats Nödöppning vid (NPÖ) Vid akuta situationer kan nödöppning ske vid sammanhållen journalförening för ospärrade uppgifter (enl. 6 kap 4 patientdatalagen 2008:355) om de behövs för att avvärja allvarlig risk för liv och hälsa. Spärrade patientuppgifter kan endast göras åtkomliga hos den vårdgivare som spärrat uppgifterna. Genom att man kontaktar denne.

5 [7] Kontroll av åtkomst till patientuppgifter. I 4 kap i patientdatalagen beskrivs vad som gäller vid kontroll av elektronisk åtkomst av patientjournal - Vårdgivaren ska se till att uppgifter som förs om patient helt eller delvis automatiserat kan kontrolleras. - Vårdgivaren ska göra systematiska återkommande kontroller av om någon obehörig kommer åt sådana uppgifter. I 2 kap (SOSFS 2008:14) skrivs följande. Gäller både MC och NPÖ - Det ska framgå av loggar vilka åtgärder som har vidtagits med patientuppgifterna. - Det ska framgå vilken enhet och vid vilken tidpunkt åtgärden vidtagits. - Användarens och patientens identitet ska framgå av loggarna. - Systematiskt och återkommande stickprovskontroller av loggar ska göras. - Genomförda kontroller ska dokumenteras. - Loggarna ska sparas i minst 10 år. Områdeschefen har ansvar för att kontrollera de loggar som systemansvarig tar fram. Uppföljning med stickprovskontroll av loggar. Ska göras systematiskt och återkommande med hänsyn till verksamhetens storlek, antal användare, rutiner för behörighetstilldelning och hur omfattande varje kontroll är. Rutin för slumpmässig kontinuerlig loggläsning i Gislaveds kommun. - All personal ska vara informerad om att loggning sker - Minst 5-10 st användare söks slumpmässigt ut 1g/månad både ur MC och NPÖ - Loggningskontrollen omfattar hälso- och sjukvårdspersonal, support personal och teknisk personal. - Systemansvarig hämtar ut loggar från systemen. - Loggarna skickas till berörd områdeschef för kontroll. - När det finns externa utförare med tillgång till verksamhetssystem MC/NPÖ så skickas logg till respektive verksamhetschef. - Berörd områdeschef kontrollerar innehållet och dokumenterar resultatet, samt skickar tillbaka logglistorna till systemansvarig. - Samtliga användare kontrolleras minst 1- g/år. - Logglistorna arkiveras i 10 år efter avslutad journal. - Loggning - Loggning av personal - Loggning av patient - Vid behov loggas aktuell patient. T ex om man läst om sig själv, barn eller anhöriga - Vid behov loggas patient som är av intresse pga. kändisskap, eller annan anknytning - Uppgifter från vissa mottagningar eller specialiteter kan loggas - Om spärrar har forcerats eller åtkomst mellan vårdenhetsgränser - Skyddade personuppgifter loggas - Loggning vid åtkomst avvikande tider på dygnet

6 [7] - När man ser att personal frekvent haft åtkomst till någon patient - Resultat på loggar överlämnas till den områdeschef, som ansvarar för leg personal. - Berörd områdeschef kontrollerar och dokumenterar resultatet, och återsänder logglistan till systemansvarig som arkiverar denna. Vid utredning av följande ska programområdeschef och personalavdelningen involveras Vid misstanke om sekretessbrott - Uppgifter i anmälan/avvikelse ska stämmas av mot logg. - Allt som sker ska dokumenteras av den anställdes närmaste chef eller annan person som utsetts. - Resultatet delges Områdeschef/Programområdeschef som tar kontakt med personalavdelningen och efter samråd delger den (anmälde) misstanke. - Anmälan diarieförs. - Disciplinär åtgärd vidtas av områdeschef/programområdeschef efter samråd med personalavdelningen - Eventuell polisanmälan görs av förvaltningschef eller av Områdeschef/Programområdeschef om delegation finns. Vid misstanke om obefogad åtkomst - All information om ärendet ska dokumenteras av områdechef. - Utskrift av logg. - Uppgifterna verifieras av ytterliga en logg kontroll. - Kontakt tas med Programområdeschef och personalavdelningen. - Som en del i utredningen ska loggkontrollen delges berörd medarbetare som får ge sin syn på saken. - Vid sammanhållen journalföring informeras MAS/verksamhetschef HSL + andra berörda vårdgivare. - Vid sammanhållen journalföring läses loggar från respektive berörd vårdgivare. - Resultat delges verksamhetschef för HSL. Vid konstaterad obefogad åtkomst - Områdeschefen/Programområdeschef delger berörd medarbetare när beslut fattats om konstaterat otillbörlig åtkomst. - Områdeschef/Programområdeschef kontaktar personalkonsult och personalchef informeras. - Verksamhetschef/Programområdeschef/Områdeschef med delegation, kallar in berörd medarbetare till samtal samt polisanmäler händelsen. - Områdeschef/Programområdeschef/Verksamhetschef samt personalkonsult diskuterar en utvidgad utredning samt vilken disciplinär åtgärd som ska vidtas. - Kopia av ärendet sparas i personakt. - Kontinuerlig kontakt hålls av områdeschefen med medarbetaren och facklig organisation.

7 [7] Arbetsrättsliga åtgärder. - skriftlig varning - avstängning - uppsägning - avsked Utlämnande av loggningsuppgifter till patient - Patienten meddelar vårdgivaren (verksamhetschef/mas) att man vill ha ut loggningsuppgifter. - Systemansvarig kontaktar patienten och informerar om när uppgifterna kan lämnas ut. - Patienten måste kunna uppvisa giltig legitimation. - Loggningsinformation hämtas personligen eller skickas via post med mottagningsbevis. Utlämnande av loggningsuppgifter till närstående - Närstående meddelar vårdgivaren (verksamhetschef/mas) att man vill ha ut loggningsuppgifter. - Verksamhetschef/MAS får godkännande av berörd patient och gör en men prövning. - Om berörd patient inte kan lämna godkännande, ska menprövning ske och beslut fattas om utlämnande, vid avslag ska detta vara skriftligt med hänvisning hur man överklagar till kammarrätten och fattas av Verksamheteschef/Socialchef - MAS kontaktar närstående och informerar om när uppgifterna kan lämnas ut. - Närstående måste kunna uppvisa giltig legitimation el personbevis från skatteverket. - Loggningsinformation hämtas personligen eller skickas via post med mottagningsbevis Övriga rutiner - Rutin för samtycke till MC och till NPÖ - Innehåll och utformning av omvårdnadsjournal se Rutiner för dokumentation - Dokumenthanteringsplan.