Regionshuset Viborg Vejledning til adgang til Region Midts netværk og systemer. It-stab Skottenborg 26 Postboks 21 DK-8800 Viborg Tel. +45 7841 0000 kontakt@rm.dk www.rm.dk Vejledning til adgang til Region Midts netværk og systemer Adgangen til Region Midtjyllands netværk og systemer er reguleret af henholdsvis Region Midtjyllands Informationssikkerhedspolitik, Persondataloven, Sundhedsloven samt anden lovgivning i øvrigt som regulerer adgang til data. Nærværende dokument redegør for adgang til Region Midt s netværk og systemer for følgende forhold: RM ansatte Leverandører, samarbejdspartner og andre eksterne parter Vejledning til adgang til patientdata i elektroniske journalsystemer som bliver reguleret af lovgivning. Indhentning af helbredsoplysninger Videregivelse Forskere og forskningsprojekter Klagesager Eksterne leverandørers adgang til netværk og data Dato 28-09-2011 Sagsbehandler Jan Kristian Rømer Jan.Roemer@stab.rm.dk Tel. +45 7841 2674 Sagsnr. 1-16-4-71-11 Side 1 Adgangen er differentieret i forhold til autentificering og autorisation såvel for interne som eksterne brugere. Autentificering handler om at have en godkendt adgang, mens autorisation angiver hvad man har ret til at tilgå, når man har en godkendt adgang. Ansatte i Region Midtjylland er autentificeret til at få adgang med differentieret autorisation til systemer. Derudover kan der være godkendte eksterne leverandører, samarbejdspartnere eller andre som må have et forretningsanliggende med Region Midtjylland. Det er således roller der er afgørende for efter hvilket kriterium der kan gives adgang til Region Midtjyllands netværk og systemer. RM ansatte Region Midt ansatte er i Informationssikkerhedspolitikken defineret som alle medarbejdere uden undtagelse såvel fastansatte og personer, som midlertidigt arbejder for Region Midtjylland, uanset om disse modtager vederlag herfor. Det er ledelsens ansvar at autorisere de enkelte ansattes adgang til Region Midtjyllands systemer. Der kan være differentierede forhold
der er gældende alt efter om adgangen ønskes fra arbejdsplads, fjernlokation eller som support. Fra arbejdspladsen er det ledelsens ansvar at autorisere ansatte til de systemer de har brug for i deres arbejdsrelaterede funktion. Ansatte vil have mulighed for at tilgå ressourcer fra en fjernadgang via Citrix som dog er begrænset af applikationer defineret af RM it. Ved it-support som ikke varetages af Region Midtjyllands it-afdeling skal adgang godkendes af såvel systemejer som Region Midtjyllands it-afdeling. Leverandører, samarbejdspartner og andre eksterne parter Adgang med hensyn til leverandører, samarbejdspartner og andre kan være interne adgange i Region Midtjylland eller eksterne adgange til Region Midtjyllands ressourcer. Alt efter hvilken form for adgang der ønskes findes der differentierede procedurer. Som udgangspunkt skal der foreligge en anmodning om adgang som er godkendt af systemejer (kan være uddelegeret, men ansvaret er stadigvæk systemejers). Dernæst skal der indhentes fortrolighedserklæringer. Som udgangspunkt skal der foreligge en fortrolighedserklæring fra hver person der ønsker adgang til Region Midtjyllands systemer. En fortrolighedserklæring kan alt efter formål gælde i op til 2 år. Der kan være situationer hvor det kun er muligt med fortrolighedserklæring på firmaniveau. I de tilfælde skal der foreligge en godkendelse af adgangen fra it-sikkerhedsfunktionen som analyserer adgangen og sikrer at firmaets løsning kan overholde Region Midtjyllands Informationssikkerhedspolitik herunder om der foregår en logning af adgange og om den kan udleveres ved forespørgsel. Side 2 RM it s it-sikkerhedsfunktion har formuleret Overordnede principper for eksterne leverandørers remote support adgang i RM. Vejledning til adgang til patientdata i elektroniske journalsystemer som bliver reguleret af lovgivning. Der er differentieret tilgang til adgang til patientdata i elektroniske journalsystemer alt efter hvilken rolle samt klinisk situation adgangen gives. Det er afgørende hvilket begreb der er i anvendelse i forhold til indhentning af helbredsoplysninger. Indhentning af helbredsoplysninger Ved indhentning af helbredsoplysninger er dette begrænset til den af ministeriet definerede faggrupper. P.t. er faggruppen defineret som Læger og tandlæger, jordemødre, sygeplejersker, sundhedsplejersker, social- og sundhedsassistenter, radiografer og ambulancebehandlere med særlig kompetence. Faggrupperne må foretage opslag af historiske og aktuelle data på tværs af sektorer og faggrænser i forbindelse med aktuel behandling.
Overordnet gælder tre generelle betingelser for autoriseret faggrupper: Aktuel patientbehandling handler om at autoriserede personale kun må foretage opslag i elektroniske journalsystemer i forbindelse med en aktuel patientbehandling i et fornødent omfang og i de tilfælde hvor patienten ikke har udnyttet sin ret til at sige fra overfor indhentning af helbredsoplysninger. Der må kun indhentes informationer i fornødent omfang. Patient må ikke have udnyttet sin ret til at sige fra overfor indhentning af helbredsoplysninger. Andre sundhedspersoner end de definerede får en mere begrænset adgang til elektroniske journalsystemer idet der udover de tre generelle betingelser gælder en yderligere betingelse Teknisk begrænset adgang knyttet til behandlingsenheden. Side 3 Behandlingsstedets ledelse kan give andre faggrupper tilladelse til at indhente helbredsoplysninger. Endelig gælder særlige regler for lukkede systemer: det vil sige systemer som teknisk er afgrænset på en måde så der ikke er adgang til andre systemer eller kan indføres data fra andre systemer. Undtagelse fra reguleringen er angivelserne i værdispringsreglen som angiver at sundhedspersoner kan indhente helbredsoplysninger om patienter i tilfælde af: Indhentningen er nødvendig til berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten. Sundhedsperson skal være en læge, sygehusansat tandlæge eller medicinstuderende eller en sundhedsperson med tilladelse til en bred adgang til elektroniske journalsystemer fra ledelsen på behandlingsstedet eller En sundhedsperson hvis opslag teknisk set er begrænset til de patienter der er i behandling på samme behandlingssted eller En sundhedsperson der foretager opslag i et lukket system. Andre personer end de angivne kan autoriseres til indhentning af oplysninger i et fornødent omfang under de autoriserede faggruppers ansvar og med patientens samtykke. Der skal forelægge en behandlingsrelation. Videregivelse Regler om videregivelse er i sin væsentlighed uændret i forhold til tidligere gældende regler i lov om patienters retsstilling. Videregivelser af helbredsoplysninger reguleres forsat af Sundhedslovens kapitel 9, hvilket betyder, at hvis en sundhedsperson er afskåret fra elektronisk at indhente historiske oplysninger efter angivelser i Sundhedsloven vil videregivelsesreglerne alt efter omstændighederne kunne anvendes.
Forskere og forskningsprojekter Videregivelse af oplysninger til forsker til brug i konkret biomedicinsk forskningsprojekt kan ske såfremt der er tilladelse efter lov om et videnskabsetisk komitésystem og behandling af biomedicinsk forskningsprojekter. Det kan også ske efter godkendelse i Sundhedsstyrelsen. Klagesager I forbindelse med klagesager kan administrativt personale have brug for konkrete oplysninger. Indhentning af oplysninger i forbindelse med klagesager kan kun ske som videregivelse fra autoriseret sundhedspersoner. Eksterne leverandørers adgang til netværk og data Leverandører må kun få adgang (fysisk som netværksbaseret) med godkendelse af ledelsen og kun i nødvendigt omfang. Aktiviteterne skal overvåges. Eksterne leverandørs system til adgang for eksempel ved support af udstyr skal godkendes i RM it. Løsningen skal opfylde Overordnede principper for eksterne leverandørers remote support adgang i RM. Data der eventuelt udleveres til test skal udvælges med omhu, kontrolleres og behandles i overensstemmelse med klassifikation. Personfølsomme data må ikke anvendes til test eller udleveres med mindre de er anonymiseret og det vil sige at data ikke længere kan henføres til en person. Det er ikke tilstrækkeligt med en såkaldt pseudoanonymisering hvor personhenførbare data erstattes af et nummer eller lignende. I driftssammenhæng skal der foreligge en databehandleraftale hvis den eksterne leverandør behandler data på vegne af Region Midtjylland. Side 4 Andre forhold Er det ikke muligt at imødekomme ovenstående vejledning, skal der træffes andre individuelle sikkerhedsforanstaltninger som godkendes af it-sikkerhedsfunktionen såfremt andet ikke er aftalt herunder dokumentation af undtagelser og specialopsætninger. Venlig hilsen Jan Kristian Rømer It-sikkerhedskonsulent Birgitte Lykke Frederiksen Koordinator, EPJ-programmet
Regionshuset Viborg BILAG It-stab Skottenborg 26 Postboks 21 DK-8800 Viborg Tel. +45 7841 0000 kontakt@rm.dk www.rm.dk Overblik over forskellige interessenters adgang til patientdata Nedenstående tabel har til hensigt at give overblik over forskellige interessenters adgang til patientdata. Der bør dog altid refereres tilbage til hoveddokumentet for at få det fulde billede. Hvis man er i tvivl bør man kontakte Region Midtjyllands it-sikkerhedsfunktion. Interessent Indhentning / videregivelse Lovtekster RM ansatte Dato 14-10-2011 Sagsbehandler Jan Kristian Rømer Sundhedspersoner nævnt i sundhedslovens 42a, Må indhente helbredsoplysninger/foret age opslag, hvis: I Forslag til Lov om ændring af sundhedsloven står blev følgende Jan.Roemer@stab.rm.dk Tel. +45 7841 2674 Sagsnr. 1-16-4-71-11 stk1 Herunder: Læger Tandlæger Jordemødre Sygeplejersker Kun ifm aktuel patientbehandling Kun i fornødent omfang Patient må ikke have givet negativt samtykke vedtaget af Folketinget ved 3. behandlingen den 30. maj 2011: 42a, stk1: Læger og tandlæger, jordemødre, sygeplejersker, Side 5 Sundhedsplejersker sundhedsplejersker, Social- og social- og sundhedsassistenter sundhedsassistenter, Radiografer radiografer og Ambulancebehandlere ambulancebehandlere med særlig kompetence med særlig kompetence kan ved opslag i elektroniske systemer i fornødent omfang indhente oplysninger om en patients helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger, når det er nødvendigt i forbindelse med aktuel behandling af patienten. Andre Må indhente 42a stk 2: sundhedspersoner, helbredsoplysninger/foret Andre sundhedspersoner ikke nævnt i age opslag i, hvis: end dem, der er omfattet sundhedslovens 42a, af stk 1, 1.pkt, eller af
stk1, ansat på behandlingsstedet Hospitalsledelsen har givet tilladelse Kun ifm aktuel patientbehandling Kun i fornødent omfang Patient må ikke have givet negativt samtykke Teknisk begrænset adgang knyttet til behandlingsenhed en regler udstedt i medfør af stk 1, 2. pkt, kan ved opslag i elektroniske systemer, hvori adgangen for den pågældende sundhedsperson teknisk er begrænset til de patienter der er i behandling på samme behandlingsenhed, som den pågældende sundhedsperson er tilknyttet, i fornødent omfang indhente oplysninger som nævnt i stk 1 om aktuel behandling, når det er nødvendigt i forbindelse med aktuel behandling af patienten. Side 6 42a, stk4: Ledelsen på et behandlingssted kan give tilladelse til, at enkelte eller grupper af sundhedspersoner, der er ansat på det pågældende behandlingssted, kan foretage opslag i elektroniske systemer efter stk1. Tilladelse efter 1.pkt kan kun gives til sundhedspersoner, der har behov for at kunne foretage opslag efter stk1 med henblik på at kunne varetage de funktioner og opgaver, vedkommende er beskæftiget med. Beslutninger truffet efter 1.pkt skal fremgå af en datasikkerhedsinstruks for behandlingsstedet. Beslutninger truffet efter 1.pkt skal gøres offentligt tilgængelige.
Andre, der er tilknyttet samme behandlingsenhed (ansat i RM) Herunder: Studerende Konsulenter Supervisorer Vikarer Må indhente helbredsoplysninger/foret age opslag i, hvis: En læge eller sygehusansat tandlæge har givet tilladelse Der foreligger skriftligt samtykke fra patienten Kun ifm aktuel patientbehandling Kun i fornødent omfang Teknisk begrænset adgang knyttet til behandlingsenhed en 42a, stk.8: Stk. 8. Læger og sygehusansatte tandlæger kan under disses ansvar lade medicinstuderende indhente oplysninger efter stk. 1 og 5-7. 42a stk 10: Uden for de i stk 1-9 nævnte tilfælde kan læger og sygehusansatte tandlæger under disses ansvar med patientens samtykke lade andre, der er tilknyttet samme behandlingsenhed, hvor patienten er i behandling, i fornødent omfang indhente oplysninger om patienten som nævnt i stk 1, 1. pkt, når det er nødvendigt i forbindelse med aktuel behandling af patienten som led i den samlede sundhedsfaglige indsats Side 7 Andre sundhedspersoner nævnt i Autorisationsloven, men ikke nævnt i Sundhedsloven, som har tilknytning til behandlingsstedet (ansat i RM) Herunder: Kiropraktorer Ergoterapeuter Fysioterapeuter Bioanalytikere Kliniske diætister Bandagister Kliniske tandteknikere Tandplejere Optikere, kontaktlinseoptikere og Må indhente helbredsoplysninger/foret age opslag i, hvis: En læge eller sygehusansat tandlæge har givet tilladelse Der foreligger skriftligt samtykke fra patienten Kun ifm aktuel patientbehandling Kun i fornødent omfang Teknisk begrænset adgang knyttet til behandlingsenhed en 42a stk 10: Uden for de i stk 1-9 nævnte tilfælde kan læger og sygehusansatte tandlæger under disses ansvar med patientens samtykke lade andre, der er tilknyttet samme behandlingsenhed, hvor patienten er i behandling, i fornødent omfang indhente oplysninger om patienten som nævnt i stk 1, 1. pkt, når det er nødvendigt i forbindelse med aktuel behandling af patienten som led i den samlede sundhedsfaglige indsats
optometrister Fodterapeuter Personer med tilknytning til behandlingsstedet der deltager i patientbehandlingen, men ikke er defineret som sundhedspersoner iht Autorisations-loven (ansat i RM) Herunder: Talepædagoger Hørepædagoger Må indhente helbredsoplysninger/foret age opslag i, hvis: En læge eller sygehusansat tandlæge har givet tilladelse Der foreligger skriftligt samtykke fra patienten Kun ifm aktuel patientbehandling Kun i fornødent omfang Teknisk begrænset adgang knyttet til behandlingsenhed en 42a stk 10: Uden for de i stk 1-9 nævnte tilfælde kan læger og sygehusansatte tandlæger under disses ansvar med patientens samtykke lade andre, der er tilknyttet samme behandlingsenhed, hvor patienten er i behandling, i fornødent omfang indhente oplysninger om patienten som nævnt i stk 1, 1. pkt, når det er nødvendigt i forbindelse med aktuel behandling af patienten som led i den samlede sundhedsfaglige indsats Side 8 Kvalitetskonsulenter og personer med drift- og systemtekniske opgaver Herunder: Kvalitetskonsulenter Auditører Kontrollanter It-drift It-supporter Andet it-personnel Må indhente oplysninger med henblik på revision eller drifts- og systemtekniske opgaver Disse opgaver er ikke underlagt sundhedsloven men persondataloven: Bekendtgørelse 528 af 15. juni 2000, 11, stk3 samt 13, stk2: Der må endvidere autoriseres personer, for hvem adgang til oplysninger er nødvendig med henblik på revision eller drifts- og systemtekniske opgaver Forskere Videregivelse af oplysninger til forsker til brug i konkret biomedicinsk forskningsprojekt kan ske såfremt der er tilladelse efter lov om et videnskabsetisk komitésystem og behandling af biomedicinske forskningsprojekter. Det kan også ske efter godkendelse i Sundhedsstyrelsen. Sundhedslovens 46, stk1: Oplysninger om enkeltpersoners helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger fra patientjournaler mv kan videregives til en forsker til brug for et konkret biomedicinsk forskningsprojekt, såfremt
der er meddelt tilladelse til projektet efter lov om et videnskabsetisk komitésystem og behandling af biomedicinske forskningsprojekter. Stk2: Oplysninger som nævnt i stk1 kan, når et forskningsprojekt ikke er omfattet af lov om et videnskabsetisk komitésystem og behandling af biomedicinske forskningsprojekter, endvidere videregives til en forsker til brug ved et konkret forskningsprojekt af væsentlig samfundsmæssig interesse efter godkendelse af Sundhedsstyrelsen, som fastsætter vilkår for videregivelsen. Stk3: Der må kun ske efterfølgende henvendelse til enkeltpersoner i det omfang de sundhedspersoner, der har behandlet de pågældende, giver tilladelse hertil. Side 9 Behandlere af klagesager Indhentning af oplysninger i forbindelse med klagesager kan kun ske som videregivelse fra autoriserede sundhedspersoner. Eksterne Eksterne medicinalfirmaer Eksterne medicinalfirmaer kan udelukkende få adgang til patientoplysninger under regel om videregivelse af helbredsoplysninger iht Sundhedslovens 43 under forudsætning af at patienten har givet sin skriftlige samtykke (kan kun Sundhedslovens 43 stk1: Med patientens samtykke kan sundhedspersoner til andre formål end behandling videregive oplysninger om patientens helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger til myndigheder, organisationer,
undtagelsesvis fraviges i specielle situationer) som bortfalder efter 1 år. private personer m.fl Uden patientens samtykke skal følgende forhold gøre sig gældende: 43 Stk. 2. Videregivelse af de i stk. 1 nævnte oplysninger kan uden patientens samtykke ske, når 1) det følger af lov eller bestemmelser fastsat i henhold til lov, at oplysningen skal videregives og oplysningen må antages at have væsentlig betydning for den modtagende myndigheds sagsbehandling, 2) videregivelsen er nødvendig for berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten, sundhedspersonen eller andre eller 3) videregivelsen er nødvendig for, at en myndighed kan gennemføre tilsyns- og kontrolopgaver. Stk. 3. Den sundhedsperson, der er i besiddelse af en fortrolig oplysning, afgør, hvorvidt videregivelse efter stk. 2 er berettiget. Stk. 4. Såfremt der videregives oplysninger efter stk. 2, nr. 2, skal den, oplysningen angår, snarest muligt herefter orienteres om videregivelsen og formålet hermed, medmindre orientering kan udelades efter anden lovgivning eller af hensyn til offentlige eller private interesser svarende til dem, der beskyttes i denne lovgivning. Side 10 Sundhedslovens 44, stk1: Samtykke efter 43, stk1 skal være skriftligt. Kravet om skriftlighed kan dog fraviges, når sagens karakter eller
omstændighederne i øvrigt taler derfor. Samtykket skal indføres i patientjournalen. Eksterne leverandører Personfølsomme data må ikke anvendes til test eller udleveres medmindre de er anonymiseret og det vil sige at data ikke længere kan henføres til en person. Det er ikke tilstrækkeligt med en såkaldt pseudoanonymisering hvor personhenførbare data erstattes af et nummer eller lignende. Reguleres af Persondataloven Persondataloven 1 om behandling af personoplysninger; 3 Definitioner; 5 stk2 vedrørende behandling af oplysninger; 6 ligeledes behandling af oplysninger; 7 behandling af oplysninger og 8 stk. 2 om den offentlige forvaltning behandling af specifikke oplysninger. Side 11 I driftssammenhæng skal der foreligge en databehandleraftale hvis den eksterne leverandør behandler data på vegne af Region Midtjylland. BIRFRD 28. september 2011