Radering av patientdata
Det är varje vårdgivare som ansvarar för att det finns en samsyn i organisationen kring vad som ska kontrolleras, hur och när det görs och vad som ska bedömas utgöra en obehörig åtkomst av patientuppgifter. Omfattningen av behörigheten ska baseras på en behovs- och riskanalys utifrån verksamhetens uppdrag. IMY har därför i tillsynsprojektet begärt in vårdgivarnas riktlinjer för att stötta anställda som utför loggkontrollerna.
Rättslig reglering av registret. Vårdgivarens rutiner för loggkontroll bör kunna svara på om den granskade åtkomsten till patientuppgifter varit befogad eller inte utifrån verksamhetens uppdrag, arbetssätt och organisation och med hänsyn till den anställdas arbetsuppgifter. Vårdgivaren måste ändå alltid göra en behovs- och riskanalys före tilldelningen av behörighet. Dokumentet redovisar en analys av behoven av och riskerna med tillgång till tidboken, dels utanför det egna medicinska ansvaret, dels inom det egna medicinska ansvaret.
Före beslut om anställdas behörighet ska ni göra en behovs- och riskanalys så att behörigheten blir rätt. Saknas riktlinjer riskerar vårdgivarna att åsidosätta den inre sekretessen.
Dina rättigheter i vården
Som ett underlag för den individuella behörighetstilldelningen ska vårdgivaren genomföra strukturerade behovs- och riskanalyser utifrån patientuppgifterna i informationssystemet. Vårdgivaren bör tydligt vägleda anställda så att de metodiskt och konsekvent kan utföra effektiva loggkontroller. Syfte och tillämpningar. Det räcker inte att utgå från vilken yrkeskategori en viss anställd tillhör eller ge alla med viss typ av legitimation en och samma behörighetsprofil i informationssystemet.
Vårdgivares skydd för patientuppgifter
Det här gäller enligt dataskyddsförordningen. Checklista — systematisk logguppföljning. Sammanfattningsvis ansvarar vårdgivaren för att loggkontrollerna utförs systematiskt oavsett vem som utför dem. I lagen och förordningen regleras vilka uppgifter som får finnas i patientregistret, liksom skyldigheten för dem som bedriver hälso. En av de granskade vårdgivarna har på ett bra sätt beskrivit grunderna för en behovs- och riskanalys:.
Det finns bland annat vägledningar som beskriver olika omständigheter som bör uppmärksammas särskilt vid kontrollerna. Vårdgivarna använder ofta begrepp som exempelvis avvikande mönster, olovlig tillgång, otillåten åtkomst och liknande utan att dessa förklaras. Här kan problem uppstå. Vårdgivare ansvarar för att anställda enbart har den behörighet som krävs för arbetsuppgifterna och för en god och säker vård.
Det måste vara tydligt vad som menas om uttrycken används. Läs dokumentet pdf, kB. IMY:s vägledning om vad vårdgivare ska tänka på för att skydda uppgifter om patienter och följa patientdatalagen bygger på vår granskning av landstingens och regionernas hantering av patientuppgifter. Tillsynsprojektet har visat att de flesta vårdgivare saknar eller har otillräckliga riktlinjer till anställda som utför loggkontrollerna, men det finns vårdgivare som gett bra vägledning.
Läs vår checklista om systematisk logguppföljning. Behovs- och riskanalysens resultat ligger sedan till grund för den behörighetsprofil som används vid tilldelning av behörigheter för medarbetare inom verksamheten[ Ett annat bra exempel är en behovs- och riskanalys som genomförts för en tidbok i huvudjournalsystemet.
Vissa vårdgivare kompletterar med frågor som den som utför loggkontrollen bör ställa till den anställda som blir kontrollerad. Följande textavsnitt är ett exempel: [ Det kan dock finnas personal som arbetar med länsövergripande verksamheter som har behov av att se tidboken över olika medicinska ansvar för samordning och sambokning. Startsida Verksamhet Dataskydd Dataskydd på olika områden Personuppgifter inom hälso- och sjukvård Vårdgivares skydd för patientuppgifter.
Patientregistret är ett hälsodataregister som är reglerat i lagen () om hälsodataregister och förordningen () om patientregister hos Socialstyrelsen. Patientdatalagen ska tillämpas av alla vårdgivare, både i offentlig och privat regi. Patientdatalagen kompletterar dataskyddsförordningen och innehåller regler för behandling av personuppgifter inom hälso- och sjukvården. Kombinationen av omständigheter kan uppmärksammas särskilt och ett antal frågor som ska besvaras ger ett bra underlag för den som ska utreda om en åtkomst till patientuppgifter varit obehörig.
Så hänger lagarna ihop. Åtkomsten behöver också sättas i relation till den anställdas arbetsuppgifter. Detta behöver utredas ytterligare. Reglerna i patientdatalagen om kontroll av åtkomst till patientuppgifter förtydligas i 4 kap. Det är vårdgivarens ansvar, liksom att göra systematiska och återkommande kontroller av om någon obehörig kommer åt uppgifterna. Introduktion till dataskyddsförordningen. Vi tar upp både goda exempel och sådant som behöver förbättras.
De som utför loggkontroller måste ha gemensamma utgångspunkter för vad vårdgivaren uppfattar som obehörig åtkomst. Åtkomsten till uppgifter om patienter som förs helt eller delvis automatiserat ska dokumenteras och kunna kontrolleras. Vårdgivarna bör också vara tydligare med hur utredningsarbetet ska bedrivas, till exempel genom att ta fram ett antal frågor som ska besvaras vid granskningen. Det behöver finnas riktlinjer om vad som kan utgöra obehörig elektronisk åtkomst enligt reglerna om inre sekretess till de anställda som gör bedömningar i samband med loggkontroller.
En alltför omfattande eller felaktig behörighet riskerar att leda till en obefogad spridning av patientuppgifter.