Norm for informasjonssikkerhet Modul 2 Veileder i personvern

Norm for informasjonssikkerhet Modul 2 – Veileder i personvern og informasjonssikkerhet for helse- og sosialtjenester i kommuner www. normen. no |1

Innhold 1. 2. 3. 4. 5. Bakgrunn for veilederen Tema for veilederen Personvern og rettsikkerhet Informasjonssikkerhet i fagsystemene Sjekklister www. normen. no 2

1. Bakgrunn for veilederen • • • Økt samhandling Høy grad av elektronisk registrering og bruk av fagsystemer i helse- og sosialtjenesten Usikkerhet om hvilke krav som stilles Store ulikheter i håndtering av helse- og personopplysinger i kommunene Kompleks hverdag og tverrfaglig samhandling www. normen. no 3

Eksempler på sikkerhetsbrudd ”Kommunal legevakt hadde mangelfull avtale om drift av journalsystem med sykehuset som slettet alle journaler i tidsrommet mai til august 2009” ”Minnepinne med PPT-rapporter ble mistet og funnet av tilfeldig forbipasserende. Omfattende mediasak og kritikk av kommunen med resultat svekket omdømme” ”Det ble tatt utskrift av pasientopplysninger - og ikke hentet fra skriver umiddelbart. Skriveren sto i et fellesareal der mange, både besøkende og ansatte hadde tilgang til” ”I et fåtall av kommuner har de tidligere bekreftet at de ikke har organisert autorisasjonstilgang i forhold til hvem trenger hva av opplysninger. Dvs. at alle i de ulike tjenestene, hjemmehjelp, hjemmesykepleie, fysioterapeut, ergoterapeut etc. hadde tilgang til alle pasientopplysninger” www. normen. no 4

www. normen. no 5

2. Tema for veilederen Førende anbefaling for personvern og informasjonssikkerhet • Den registrertes rettssikkerhet • Sikkerhetskrav for fagsystemer • ved etablering • i bruk • ved utfasing • www. normen. no 6

3. Personvern og rettsikkerhet Overordnet om personvern Grunnleggende personvernhensyn • Personlig integritet • Privatlivets fred • Tilstrekkelig kvalitet på personopplysningene • www. normen. no 7

3. Personvern og rettsikkerhet Den registrertes rettigheter og kommunens plikter • Taushetsplikten • Informasjonsplikt • Informert samtykke • Innsyn • Retting / Sletting www. normen. no 8

4. Informasjonssikkerhet i fagsystemene Fagsystem/system for tjenestedokumentasjon • IT-system som behandler helse- og personopplysninger - begrepet systemløsning brukes også Eksempler • Pleie- og omsorgsystem/EPJ • Legekontorsystem (EPJ) • Barnevernsystem www. normen. no 9

www. normen. no 10

4. Informasjonssikkerhet i fagsystemene Etablere/revidere styringssystem for informasjonssikkerhet • Styrende, gjennomførende og kontrollerende del Behandling av helse- og personopplysninger • • • Allmennlegetjeneste Botilbud Fysioterapi Hjemmesykepleie / Psykisk helsearbeide Individuell plan er sammensatt av flere behandlinger www. normen. no 11

4. Informasjonssikkerhet i fagsystemene Utfordring med tilgangsstyring – autorisasjon må ses i sammenheng med behandlinger: Flere behandlinger i samme fagsystem • Tilgangsstyring gjenspeiler ikke kravet om å skille ulike behandlinger • Hva gjør kommunen da? • Hvilke behandlinger finnes (jfr håndbok) • Hvem skal ha tilgang – roller og behov • Hvordan løse tilgangsstyringen – bevissthet ved anskaffelse og bruk av fagsystem • www. normen. no 12

4. Informasjonssikkerhet i fagsystemene • Konfigurasjonskontroll og dokumentasjon • Elektronisk samhandling internt og eksternt • Opplæring i fagsystem • Interkommunalt samarbeid • Interkommunale tjenester (f. eks. PPT, IKT, legevakt) • Databehandler www. normen. no 13

4. Informasjonssikkerhet i fagsystemene Risikovurdering • Avvik og avvikshåndtering • Sikkerhetsrevisjon • www. normen. no 14

5. Sjekklister • Sjekklister: før etablering av fagsystem • når fagsystemet er i bruk • ved utfasing av fagsystemet • www. normen. no 15