2.7. Styringssystem og rutiner

Alle virksomheter skal ha et styringssystem for informasjonssikkerhet og personvern. Styringssystemet skal omfatte virksomhetens arbeid med digital pasientkommunikasjon.

Virksomheter i helse- og omsorgssektoren som skal ha løsninger for digital pasientkommunikasjon må etablere rutiner for bruk og drift av løsningene. Tabellen nedenfor er et forslag til hvilket innhold overordnede rutiner virksomheter i sektoren bør ha. Dette kan være et utgangspunkt for tilpassede rutiner for egen virksomhet og valgt løsning.

Nr	Rutine	Forslag til innhold
	Tilgangsstyring	Endre tilganger Avslutning av tilganger
	Autorisering og autentisering av pasient	Beskrivelse av hvordan pasient autoriseres Beskrivelse av hvordan pasient autentiseres for å sikre entydig identifisering
	Autorisering og autentisering av helsepersonell.	Autorisere helsepersonell til tjenstlig behov Beskrivelse av hvordan helsepersonell autoriseres Beskrivelse av hvordan helsepersonell autentiseres på en sikker måte
	Kryptering av kommunikasjon	Jevnlig kontroll av at kommunikasjon er kryptert Dersom dekryptering er nødvendig, må virksomheten ha rutiner for hvordan dette skal gjennomføres. Se Normen kapittel 5.3.5
	Rutiner for å sikre at meldinger sendes til rett mottaker.	Virksomheten bør benytte til kontakt- og reservasjonsregistret hvis den har tilgang til dette.
	Periodisk kontroll av tildelte rettigheter	Kontroll av tildelte rettigheter for helsepersonell Kontroll av tildelte rettigheter for administratorbruker
	Journalføring av helse- og personopplysninger	Ansvar for journalføring Hva som skal journalføres Tidspunkt for journalføring
	Bruk av helsepersonellets private utstyr ved pasientkommunikasjon (mobiltelefon, nettbrett, PC)	Minimumskrav til utstyret Sikring av helse- og personopplysninger på utstyret
	Informasjon og opplæring av helsepersonell	Temaer i opplæringen; bruk av løsningen, hva som kan/ikke kan sendes via løsningen, taushetsplikt informasjonssikkerhet og personvern Tidspunkt for opplæring Rutiner som ivaretar at meldingen til pasienten ikke er inngripende og krenker personvernet, men samtidig har tilstrekkelig informasjon til pasienten
	Informasjon til pasient	Temaer i informasjon; bruk av løsningen, hvilke kanaler som brukes.
	Andre rutiner som må vurderes dersom løsningen krever det	Administratortilganger Administratorbrukere som skal etableres Systembrukere som skal etableres Krav til personlig brukerkonto for administratortilgang Autorisering av administratortilgang Autentisering av administratortilgang Autorisering og autentisering av helsepersonell Ulike ansettelsesforhold skal identifiseres Tidsbegrensning av autorisasjonen Registrering av tildelt autorisasjon i autorisasjonsregister
	Rettigheter	Beskrivelse av hvordan pasient- og personvernrettigheter skal ivaretas.
	Tilgjengeliggjøring av informasjon til pasient	Sørge for at helse- og personopplysninger stilles til rådighet på en slik måte at pasient/bruker ikke er avhengig av å laste ned/lagre opplysningene på eget utstyr for å gjøre seg kjent med informasjonen.
	Melding av avvik	Hvem som melder avvik og hvordan dette skal melding og varsles i virksomheten.
	Sosiale medier	Hvordan virksomheten sørger for lovlig grunnlag (behandlingsgrunnlag) for behandlingen av helse- og personopplysninger i sosiale medier Hvordan og når en behandling skal føres i virksomhetens protokoll. Hva slags informasjon som skal gis ved publisering av personopplysninger og innhenting av samtykke, inkludert publisering av bilder Retningslinjer for hva som kan og ikke kan publiseres Prosess for tilgangsstyring og hvordan passord skal oppbevares Prosess for hvordan innhold på sosiale medier skal modereres, for eksempel hvis en følger av siden publiserer innhold med sensitiv informasjon eller bruker chat-funksjonen til å skrive inn sensitiv informasjon Hva helsepersonell skal foreta seg dersom de blir kontaktet direkte av pasienter eller brukere Hvordan de registrertes rettigheter skal ivaretas, for eksempel sletting. Se Normens veileder om de registrertes rettigheter.

Eksempler på rutiner i praksis

Eksempel på avvikshåndtering:

Pasient NN er 16 år og er pasient ved Normland sykehus. I forbindelse med en oppdatering av sykdomsbildet, skal sykehuset sende en oppdatering til de pårørende. Pasienten har samtykket til at denne informasjonen gis. Ved en feil sendes denne informasjonen til en rekke andre pårørende i tillegg til rett mottaker. Pårørende til NN får vite dette via andre som har mottatt informasjonen, da lokalsamfunnet er lite, og alle kjenner alle.

Pårørende til NN blir svært opprørte, og kontakter sykehuset for å få informasjon om det som har skjedd. Sykehuset har ikke oppdaget feilen tidligere, men tar affære og melder avviket til Datatilsynet. De vurderer avviket til å ikke være så alvorlig at det er nødvendig å varsle de registrerte.

De pårørende kontakter sykehusets personvernombud for å få bistand. De mener at de har rett på mer informasjon om det som har skjedd, og synes det er svært ubehagelig at andre i lokalsamfunnet har fått sensitiv informasjon om sønnen deres. De vil derfor, i tillegg til informasjon om avviket, ha kontaktinformasjon til de andre mottakerne.

Personvernombudet kontakter egen virksomhet og argumenterer for at de pårørende bør få varsel etter artikkel 34, da de allerede er kjent med at avviket har skjedd og hva slags informasjon som er på avveie. Videre er det et viktig poeng å demonstrere at man tar hendelsen på alvor og at man gjør det man kan for å ivareta pasienten og de pårørende. I en ubehagelig situasjon som denne er det avgjørende at pårørende og NN føler at de blir sett og at deres ubehag ikke bagatelliseres som en "menneskelig feil". Personvernombudet anbefaler at virksomheten tar hensyn til dette i sin kontakt med NN og de pårørende, og ikke bare vise til at "reglene er sånn". Ombudet mener allikevel at man ikke kan gi ut informasjon om andre mottakere, da disse har en selvstendig rett til å få sitt personvern ivaretatt.

Hendelsen resulterer i at sykehuset gjør endringer i sine informasjonsrutiner, og fra nå sender informasjon via andre kanaler der risikoen for feilsending vurderes å være mye lavere. Sykehuset følger opp NN og hans pårørende ved å kontakte dem direkte og informere om rutineendringen, for å gjøre dem trygge på at dette ikke vil skje igjen

Eksempel:

En legesekretær ved Normland Legesenter skal sende ut SMS med informasjon om at prøvesvaret til en pasient er klart. Legesekretæren er nyansatt og dermed litt usikker på hvordan meldingen skal utformes slikt at hun ikke bryter taushetsplikten.

Etter å ha tenkt seg litt om slår hun opp i legesenterets rutiner for sending av informasjon, som heldigvis er oppdaterte. Det finnes en egen rutine for sending av 1:1-meldinger til pasienter, herunder SMS.

Rutinen sier blant annet at:

Avsender på SMSen vil være "Normland Legesenter".
Det er viktig at meldinger til pasient ikke utformes slik at den avslører informasjon om diagnoser eller annet om pasientens helsetilstand. Henvis heller pasienten til legesenterets sikre nettportal der pasienten kan logge inn med Bank-ID og se prøvesvaret sitt.

SMS skal ikke brukes for å informere om resultatet av prøvesvar eller diagnoser, da det ikke er sikkert at mobiltelefonen kun brukes av pasienten.

Legesekretæren sender følgende SMS til pasienten: "Du har fått et nytt prøvesvar. Logg inn på Normland.no med Bank-ID for å se prøvesvaret ditt. Vennlig hilsen Normland Legesenter".

Bruk av private og personlige enheter

Det forekommer tilfeller der helsepersonell benytter seg av sin private enhet, for eksempel mobiltelefon, i utførelsen av sitt arbeid. Et eksempel kan være en lege som mottar eller sender pasientinformasjon til annet helsepersonell, eller som kommuniserer direkte med pasienten sin over SMS eller e-post.

Det må skilles mellom enheter som er private, og personlige enheter som er utlevert av arbeidsgiver med den hensikt å brukes på jobb. Sistnevnte vil være underlagt arbeidsgivers styringsrett, og arbeidsgiver vil kunne bestemme formålet med bruken og hva enheten konkret skal brukes til. Den tilsiktende bruken må være risikovurdert, ligge i virksomhetens styringssystem og det må finnes rutiner for bruken. Dersom en personlig enhet for eksempel kun brukes til å ringe internt på avdelingen, men de ansatte også ønsker å sende SMS med røntgenbilder til kollegaer, må dette risikovurderes før sending av bilder kan starte.

Dersom virksomheten anskaffer egne mobiltelefoner til de ansatte der formålet er telefonisk pasientkontakt, vil det være en risiko for at man for eksempel mottar SMS med sensitiv informasjon. Her vil et aktuelt risikoreduserende tiltak være å anskaffe ikke-smarttelefoner, og ha rutiner for sletting av mottatte SMS etter mottak, eventuelt etter at dokumentasjonspliktig informasjonen er registrert i virksomhetenes systemer.

Ved bruk av personlig arbeidsenhet er det noen særskilte risikoer som må vurderes., blant annet:

Hvordan man kan slette informasjonen i etterkant, både lokalt og i eventuell backup
Hvordan man sikrer at andre ikke får tilgang til informasjonen – sikring av enheten
Hvordan man forholder seg hvis enheten mistes eller kommer på avveie
Hvordan man får journalført eventuell informasjon som fremkommer i kommunikasjonen

Bruk av private enheter har i tillegg til eksemplene over noen særskilte risikoer:

Hvordan man skiller arbeidsrelatert informasjon fra privat informasjon
Sletting av data fra enheten, inkludert tilhørende skylagring
Formålsutglidning skjer ved at den ansatte tar i bruk enheten til oppgaver som ikke er risikovurdert
Hvordan man beskytter informasjon som er lagret på enheten dersom uvedkommende får tilgang eller hvis enheten mistes eller blir stjålet

Eksempel:
En lege ved Normland legesenter mottar en SMS fra en pasient på sin private mobiltelefon. Pasienten har funnet nummeret til legen via en nummeropplysningstjeneste, og oppgir mye sensitiv informasjon til legen vedrørende sin helsetilstand. Pasienten hadde vært på konsultasjon tidligere på dagen og ønsket å legge til noen opplysninger han hadde glemt å opplyse om.

Hva skal legen gjøre med informasjonen og SMS-en?

Legen er litt usikker på hvordan han skal forholde seg til SMS-en og innholdet som står i den. Informasjonen pasienten opplyser om virker utvilsomt relevant for den videre behandlingen. Det er ingenting som tilsier at det er en akuttsituasjon. Heldigvis har Normland Legesenter gode internrutiner for hvordan slike tilfeller skal håndteresRutinen inkluderer blant annet å slette SMS og alle andre steder meldingen kan være lagret

Legen svarer pasienten at han må ringe legekontoret og bestille en ny legetime, slik at opplysningene kan følges opp på riktig måte. Deretter sletter han SMS-en lokalt på telefonen. I tillegg sørger legen for å slette backup av meldingen i skyen som er tilknyttet sin smarttelefon.

Nødrettsbetraktninger

Det kan tenkes tilfeller der en nødsituasjon kan gjøre det nødvendig å kontakte eller sende informasjon til en pasient eller bruker via et annet verktøy/system enn det som er angitt i virksomhetens rutine. Det kan også tenkes tilfeller der man har behov for å sende mer informasjon enn det som vanligvis er nødvendig.

Dette er uheldig, men kan ut fra en nødrettsbetraktning av og til være nødvendig for å gi pasienten trygg og rask behandling. At helsepersonellets privattelefon og utradisjonelle tiltak benyttes i kritiske situasjoner kan forsvares i enkelttilfeller, men når dette går over i en systematisk praksis berører det virksomhetens systemansvar etter spesialisthelsetjenesteloven § 2-2 og § 3-2. Se Rundskriv I-3/2019 om informasjonshåndtering i spesialisthelsetjenesten (regjeringen.no)

Man bør først og fremst benytte seg av telefonisk kontakt med pasient i et nødstilfelle, da kanaler som e-post, SMS og sosiale medier ikke har garantert leveranse.

Eksempelvis kan det være nødvendig å gi rask informasjon om endringer i legemiddelbruk eller få tak i en pasient svært raskt av ulike grunner. Det vil da kunne være riktig å avvike fra rutiner for å kunne gi forsvarlig helsehjelp. Hvis det derimot er vanlig å bruke andre verktøy/system enn det som er angitt i virksomhetens rutine for å kommunisere med pasient, bør det gjenspeiles i rutinene når dette kan gjøres og ikke. Det bør også gjøres en vurdering om det kan gjennomføres tiltak for å forhindre at slike kreative metoder for pasientkommunikasjon er nødvendige. Dette er både av hensyn til personvernet, informasjonssikkerheten og pasientsikkerheten.

Veileder til Normen er godkjent og forvaltes av styringsgruppen for Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren.

Siste faglige endring: 31. januar 2024