Loggkontroller i nationella tjnster och Cosmic med std

Loggkontroller i nationella tjänster och Cosmic, med stöd av patientdatalagen (Pd. L) Utbildning

Agenda • Grunder i patientdatalagen loggning (Veronica) • Misstanke om dataintrång (Veronica) • Loggkontroll i nationella tjänster (Caroline) • Loggkontroller utifrån Cosmic (Anita) • Dokumentation (Anita)

Vad är Patientdatalagen? Patientdatalagen SFS 2008: 355 • En lag som reglerar hur personuppgifter, såsom journaluppgifter, får hanteras inom vården • Socialstyrelsens föreskrifter: Journalföring och behandling av personuppgifter i hälso- och sjukvården HSLF-FS 2016: 40 • Handbok • Tillsyn sker av Datainspektionen och Socialstyrelsen Nytt förslag 2014: Två nya lagar: en socialtjänstdatalag och en hälso- och sjukvårdsdatalag Rätt information på rätt plats i rätt tid (SOU 2014: 23)

Begrepp Vårdgivare (definierad i Pd. L) Statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvård som myndigheten, landstinget eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare) Exempel på vårdgivare ü Region Kronoberg ü Älmhults kommun ü Vårdcentralen Capio Hovshaga

Begrepp Vårdenhet/vårdprocess Inte definierade i Pd. L Region Kronobergs beslutade definition: Vårdenhet är en organisatorisk enhet som finns i verksamhetskatalogen med en verksamhetschef och det finns i regel ett medicinskt ansvar. En vårdenhet tillhör alltid en vårdgivare. Ex. Ögonklinik, vårdcentralen Dalbo, Folktandvården

Begrepp Vårdrelation Inte definierad i Pd. L Region Kronobergs beslutade definition: En hälso- och sjukvårdspersonal har en vårdrelation om han/hon deltar i planering, utförande och/eller uppföljning av patientens vård. Denna definition finns i förarbeten om nationella säkerhetstjänster. Man deltar i vården på olika sätt.

Förutom att träffa patienten personligen kan man: • Bli konsulterad av en kollega som har en vårdrelation med patienten • Delta i multiprofessionell rond • Kommunicera med patienten via internet • Ta emot en remiss • Medicinsk sekreterare och behöver skriva anteckningar • Eller förberedda sig inför ett möte med patienten. • När börjar/slutar en vårdrelation?

Begrepp Sammanhållen journalföring Ett elektroniskt system, som gör det möjligt för en vårdgivare att ge eller få direktåtkomst till personuppgifter hos en annan vårdgivare Aktiva val Aktivt söka efter information Samtycke Informerat samtycke för att ingå i sammanhållen journal Aktivt samtycke för att ta del av information mellan vårdgivare Spärr Patienten har möjlighet att spärra information för andra vårdenheter och vårdgivare

Kort och Behörigheter • Säker identifiering med kortinloggning - stark autentisering* • Behörighet sätts individuellt efter behov • Det är den som tar del av uppgifter som ska vara inloggad • Den som är inloggad, lämnar spår efter sig i form av loggposter • Dra ut kortet • Använd skärmsläckare * Autentisering innebär att identiteten kontrolleras på två olika sätt

Krav för att läsa en patientjournal? Tyst nads plikt! • Behov för att utföra arbetsuppgifter • Vid en vårdrelation • Behörighet • Patientens samtycke vid sammanhållen journal • Mer information finns på webben • Cosmic, e. Hälsa och VIS • Informationssäkerhet • Frågor och svar om patientdatalagen (Utredningen Rätt information på rätt plats i rätt tid)

Region Kronoberg sammanhållen journalföring Vårdval Kronoberg Inre sekretess

Inre sekretess Följande enheter publiceras inte i den sammanhållna journalen från Region Kronoberg • Auroramottagningen Växjö • Barn och ungdomspsykiatriska kliniken • Ekeliden • Kvinnoklinik Växjö - diagnoser före Cosmic (2004) • Navet, alkohol- och narkotikamottagning • Rättspsykiatriska regionkliniken • Sesammottagning Ljungby - delvis sekretess • Sesammottagning Växjö - delvis sekretess • STI-mottagning Växjö • Ungdomsmottagning Växjö På Vårdguiden 1177. se publiceras denna lista.

Regional sammanhållen journalföring Kommuner med HSL och elevhälsa i Cosmic Vårdval Kronoberg Inre sekretess LINK Samtliga kommuner Andra Vårdgivare

Patienten ska informeras om rättigheter och möjligheter • Region Kronoberg informerar patienter på många sätt. • • • Vårdguiden 1177. se Kallelser Katalogen till hushållen I väntrum Personalen vid vårdtillfället

Samtycke • Patient ska bli informerad • Samtycka till sammanhållen journalföring • Samtycke mellan vårdgivare

Spärr - patientens rätt att begränsa åtkomst • Patienten kan begära att uppgifterna spärras • Olika regelverk mellan eller inom vårdgivare • Yttre spärr, mellan vårdgivare • Inre spärr, inom en vårdgivare på en vårdenhet • För barn gäller särskilda regler för spärr • Risker med spärr Journalenheten, Region Kronoberg

Yttre spärr – mellan vårdgivare X Privat Vårdcentral X Markaryd kommun

Inre spärr – inom vårdgivaren Privat Vårdcentral Kvinnokliniken X Kirurgkliniken Markaryd kommun X Infektionskliniken

När en spärr finns? • Tillfällig hävning av en spärr med samtycke från patienten • Gäller endast inre spärr • Kriterier för en nödöppning • Fara för liv eller allvarlig skada • Avsett för vård som patienten oundgängligen behöver

Vad är loggar? • Historik • Alla som är inne i patientjournalerna lämnar elektroniska spår efter sig. • I efterhand går att spåra vem som läst om en patient.

Spårbarhet - loggning Vårdgivare är skyldig: • att föra logg över åtkomst inom vårdgivaren • att dokumentera regelbunden och systematisk loggningskontroll • utföra loggkontroller vid misstanke om dataintrång • lämna ut uppgifter på patientens begäran, Journalenheten, Region Kronoberg Loggar ska sparas i minst 5 år

Loggkontroll – syfte? • Syfte att: • förebygga, • ingripa mot, • konstatera, otillåten eller obefogad åtkomst. • Verksamhetschefen är ansvarig • Kontrollen omfattar all personal • När? – Rutin för kontroll av loggar • Regelbundna stickprovskontroller • Vid misstanke

Tänk på • Kontrollera extra: - Barn, med anledning av att patientuppgifter om barn inte får spärras - Vissa inloggningsmönster, såsom många journalöppningar inom ett visst tidsintervall eller vid ovanliga tider på dygnet - Obehörig åtkomst

Vad är obehörig åtkomst? När en användare har tagit del av patientinformation: • gällande en närstående eller sig själv • gällande en kollega • gällande en person som har ett medialt intresse • gällande en patient som ej har någon kontakt på vårdenheten • gällande en Lex-Maria anmälningar • för ett åldersintervall som ej är aktuell på vårdenheten • och för personer med diagnoser som kan väcka intresse

Vid misstanke om dataintrång • Åtgärder vid otillåten användning (dataintrång) • När stickprovskontroller görs eller om en patient misstänker att obehörig person varit inne i vårdinformationssystemet ska följande rutiner användas: • Rutin och åtgärd vid misstanke på dataintrång • Rutin för samtal medarbetare beträffande loggranskning • Protokoll fört vid samtal medarbetare beträffande loggranskning

Fokus i lokalpressen

Administrativa riktlinjer

Medverkande • Veronica Ionescu, Pd. L • Caroline Andersson, Nationella tjänster • Anita Sparf, Logguppföljning