Riktlinjer för logghantering, kontroll och åtkomst enligt Patientdatalagen (PDL) och SOSFS 2008:14 (Vodok och NPÖ)

Transkript

1 Äldreförvaltningen Uppföljning och inspektion Riktlinjer Sida 1 (8) kontroll och åtkomst enligt Stadsgemensamma riktlinjer för logghantering och kontroll av åtkomst av hälso- och sjukvårdsjournaler i Stockholms stads verksamhetssystem Vodok och Nationell patientöversikt, NPÖ Dessa stadsgemensamma riktlinjer omfattar verksamheter inom stadsdelsnämndernas särskilda boendeformer enligt SoL och LSS, dagverksamhet enligt SoL och daglig verksamhet enligt LSS. Äldreförvaltningen Uppföljning och inspektion Storforsplan 44 Farsta Stockholm Telefon stockholm.se

2 Sida 2 (8) 1 ANSVAR FÖR INFORMATIONSSÄKERHET KONTROLL AV ÅTKOMST 3 Bakgrund och syfte 3 2 LOGGUPPFÖLJNING I STOCKHOLMS STAD Behörighet Ansvar Information till personal 5 3 GRANSKNING AV LOGGRAPPORTER Rutiner Genomförande av logguppföljning Genomförande av logguppföljning i Vodok 6 Inför logguppföljningen ska chefen göra ett slumpmässigt urval av journaler varje månad med målsättning att varje patientjournal och varje användare ska granskas minst en gång per år Genomförande av logguppföljning i NPÖ Resultat utan anmärkning Resultat med avvikelse Resultat misstanke om olovligt intrång Arkivering av loggrapporter 7

3 Sida 3 (8) 1 ANSVAR FÖR INFORMATIONSSÄKERHET KONTROLL AV ÅTKOMST Bakgrund och syfte I 4 kap. 3 patientdatalagen (PDL) och i 2 kap. 11 socialstyrelsens föreskrifter (SOSFS 2008:14) informationshantering och journalföring i hälso- och sjukvården regleras vårdgivarens ansvar för rutiner och kontroll av åtkomst till patientuppgifter. I PDL framgår att en vårdgivare är skyldig att se till att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Vårdgivaren ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter, så kallade logguppföljningar. Den som obehörigt bereder sig tillgång till patientuppgifter i ett vårdinformationssystem kan dömas till dataintrång vilket kan leda till böter eller fängelse i högst två år enligt brottsbalkens 4 kap 9c. Vårdgivaren ska ansvara för att det i ledningssystemet finns rutiner som säkerställer att: 1. Det av dokumentationen av åtkomsten (loggarna) framgår vilka åtgärder som vidtagits med patientuppgifterna, 2. Det av loggarna framgår vid vilken vårdenhet och vid vilken tidpunkt åtgärderna vidtagits, 3. Användarens och patientens identitet framgår av loggarna. 4. Systematiska och återkommande stickprovskontroller av loggarna görs. 5. Genomförda kontroller av loggarna dokumenteras 6. Loggarna sparas i minst tio år. Patientdatalag (2008:355) Socialstyrelsens föreskrift (SOSFS 2008:14) Informationshantering och journalföring i hälso- och sjukvården. 2 LOGGUPPFÖLJNING I STOCKHOLMS STAD Ovanstående punkter 1, 2, 3 hanteras elektroniskt av förvaltningen för Sociala system på Stadsledningskontorets avdelning för digital

4 Sida 4 (8) utveckling. Punkt 6, där ansvarar systemförvaltarna för att systemet gallras enligt lagkrav. Lokalt sparas logguppföljningarna i 10 år. Punkterna 4 och 5 ska hanteras av verksamheterna i respektive stadsdelsnämnd. Detta dokument beskriver hur och av vem dessa två punkter ska utföras av. I staden används i dag två system eller stödsystem som enligt gällande lagstiftning kräver logguppföljningar: Det är journalsystem som används av äldreomsorgen och LSS för hälso- och sjukvårdsdokumentation, Vodok och Nationell patientöversikt (NPÖ) 2.1 Behörighet Vodok Verksamhetschefen beslutar om vem eller vilka som ska ha behörighet för att kunna genomföra logguppföljningar i Vodok. Aktuella roller är: Vodok. Enhetschef och Vodok. Verksamhetschef HSL. Logguppföljningen görs via ett visst sökurval och sker i enlighet med upprättad lokal rutin. För mer information se Vodok Lathund för enhetschef. NPÖ Loggrapporter från NPÖ hämtas/tas fram från Ineras Säkerhetstjänst. Endast person utsedd av verksamhetschef och med behörigheten administratör får hämta eller ta del av logganalysen/ logguppföljningen/loggrapporten. Hur loggrapporter i NPÖ tas fram: Chrome måste användas som webbläsare. 2.2 Ansvar Enligt SOSFS 2008:14 är det verksamhetschef enligt hälso- och sjukvårdslagen om har ansvaret att säkerställa att personalen har rätt åtkomstbehörighet för sina arbetsuppgifter. Det är också verksamhetschef som ska kontrollera att åtkomsten till patientuppgifter är korrekta genom att regelbundet granska de loggar som dokumenterar åtkomsten. Verksamhetschefen kan

5 Sida 5 (8) uppdra åt någon annan person med rätt kompetens att utföra logguppföljningen. 2.3 Information till personal De anställda ska informeras om regelverket och att kontroll och uppföljning av loggen sker kontinuerligt i verksamheten. Initialt bör informationen vara skriftligt där den anställde även undertecknar en bekräftelse på att han/hon tagit del av informationen och förstått dess innebörd. Ett förslag till blankett har tagits fram,bilaga 1. Lämplig information om logguppföljning bör ges vid lämpliga sammankomster. All hälso- och sjukvårdspersonal ska känna till att olovligt intrång är straffbart enligt straffbestämmelserna om dataintrång. Personal har alltså inte rätt att ta del av några patientuppgifterom de inte har en aktuell vårdrelation med patienten. Socialstyrelsens föreskrifter och allmänna råd (SOSFS 2011:9) Ledningssystem för systematiskt kvalitetsarbete Hälso- och sjukvårdslag (1982:763) 29 Brottsbalken 4 kap. 9c 3 GRANSKNING AV LOGGRAPPORTER Verksamhetschef enligt hälso- och sjukvårdslagen är huvudansvarig att logguppföljning (granskning av loggrapporter) sker inom sitt ansvarsområde. Inga generella krav finns på vilka parametrar som ska kontrolleras varje gång eller antal loggposter. Varje vårdgivare måste ta hänsyn till verksamhetens omfattning samt vilket urval och systematik som ska användas vid uppföljningen för att säkerställa åtkomsten Tillvägagångssättet av logguppföljningar ska utvärderas och analyseras av verksamhetschefen kontinuerligt, liksom informationen till de anställda. Granskning av logg ska göras systematiskt och återkommande med utgångspunkt från Patientdatalagen (PDL). Resultat av logguppföljningar kan med fördel ingå i den årliga patientsäkerhetsberättelsen. 3.1 Rutiner

6 Sida 6 (8) Skriftlig rutin för logguppföljningar ska finnas i verksamheterna. I rutinen ska det bland annat framgå vilka parametrar som ska användas, hur slumpmässigheten ska erhållas samt hur dokumentationen av logguppföljningen ska ske. Förslag på urval kan vara kontroll av inloggningar; - till en viss patients uppgifter - som en viss anställd har utfört - som skett många gånger avseende en viss patient - på avvikande tider på dygnet 3.2 Genomförande av logguppföljning Genomförande av logguppföljning i Vodok Inför logguppföljningen ska chefen göra ett slumpmässigt urval av journaler varje månad med målsättning att varje patientjournal och varje användare ska granskas minst en gång per år. När urvalet bestämts tar chefen ut en loggrapport från Gem Loggning i Vodok. Listan granskas mot tjänstgöringslista för att säkerställa att rätt användare varit inne i berörd patientjournal. Följande punkter ska kontrolleras vid uppföljningen; - Sekretess att endast behöriga användare kommer åt journalinformationen. - Spårbarhet att se vem som läst eller gjort förändringar i journalen Genomförda granskningar och dess resultat ska alltid dokumenteras på loggrapporten med verksamhetschefens namnunderskrift och datum. Loggrapporten skickas efter överenskommelse, dock minst en gång per år, till MAS för kännedom Genomförande av logguppföljning i NPÖ Verksamhetschefen tar varje månad ut en loggrapport från Ineras säkerhetstjänst och genomför loggkontroller på samtliga inloggningar i NPÖ.

7 Sida 7 (8) Resultat utan anmärkning Om granskningen av loggrapporten överensstämmer med tjänstgöringslista noterar verksamhetschefen detta på loggrapporten på följande vis: Utan anmärkning och med datum och sin namnunderskrift Resultat med avvikelse Om granskningen av loggrapporten inte överensstämmer med tjänstgöringslista noterar verksamhetschefen detta på loggrapportens med hänvisning till aktuell avvikelse. En internkontroll genomförs av verksamhetschefen för att reda ut orsaken till avvikelsen. När orsaken till avvikelse klarlagts, dokumenterats och eventuella åtgärder vidtagits, noteras dessa på loggrapporten med datum och verksamhetschefens namnunderskrift Resultat misstanke om olovligt intrång Fattar verksamhetschefen efter genomförd utredning misstanke om olovligt intrång noteras detta på loggrapportens med hänvisning till aktuell avvikelse. De aktuella och kontrollerade rapporterna med kommentarer skickas tillsammans med tjänstgöringslistan till MAS för handläggning. Åtgärder som vidtagits av verksamhetschefen ska framgå i kommentarerna. MAS granskar den eller de patienters dokumentation som är aktuella i ärendet. Vid kvarstående misstanke av olovligt intrång ska en polisanmälan göras av verksamhetschefen. MAS granskning lämnas som bilaga till polisen. Respektive nämnd och vårdgivare ska alltid underrättas vid misstanke av olaga intrång. MAS ska vid verksamhetsuppföljningar kontrollera att rutiner för logguppföljningar finns och att dessa utförs Arkivering av loggrapporter Dokumentationen från granskningarna, logglistor och lista från Gem Loggning och NPÖ ska arkiveras i minst 10 år enligt stadsdelens arkiveringsrutiner. Vid avvikelser arkiveras även tjänstgöringslistor tillsammans med ovanstående. Kopia på dokumentationen från granskningen skickas till MAS för kännedom en gång per år, senast första kvartalet efterföljande år.

8 Riktlinjer Sida 8 (8)