Momentene nedenfor viser noen av Normens krav og mulig løsning for hvordan kravene for eksemplene ovenfor kan ivaretas. Det er virksomheten som ansvarlig for at kravene følges.
Sikre lovlig behandling
Personopplysninger kan bare behandles når lovgivningen tillater det. All behandling av personopplysninger skal ha et lovlig behandlingsgrunnlag.
Samtykke er rettsgrunnlaget for ytelse av helse- og omsorgstjenester. Ved videokonsultasjon vil det ofte være et implisitt samtykke at pasienten ønsker å få helsehjelp da hun tar i bruk løsningen og deltar i konsultasjonen.
Helselovgivningen gir behandlingsgrunnlag for behandling av de opplysningene som er relevant og nødvendig for ytelse av helsehjelp via videokonsultasjon. Det er derfor ikke nødvendig med et eget samtykke for behandling av personopplysninger når videokonsultasjon brukes til å yte helsehjelp.
Bruk av videokonsultasjon for andre formål enn å yte helsehjelp, f.eks. forskning, kan ha andre behandlingsgrunnlag.
Se mer i Normen kap. 4.1 Behandlingsgrunnlag.
Informasjon til pasient om bruk av videokonsultasjon der pasient er involvert
- Før videokonsultasjon starter skal pasienten få informasjon om videokonsultasjon og behandling av helse- og personopplysninger i videokonsultasjon.
- Informasjon kan gis muntlig eller skriftlig.
Se mer i Normen kap 4.2.2 Informasjon til den registrerte.
Entydig identifisering av pasienten/brukeren/ helsepersonell (Autentisering)
- Det skal gjennomføres risikovurdering som blant annet viser at pasienten/brukeren identifiseres entydig.
- Ved første gangs videokonsultasjon med ukjent pasient skal pasient/innbyggeren entydig identifiseres. Et løsningsalternativ er bruk av personlige kvalifiserte sertifikater med for eksempel pålogging tilsvarende Bank-ID eller mekanismer i ID-porten. Bruk av personlig kvalifisert sertifikat sikrer at autentiseringskriteria tildeles på en betryggende måte. Dette kan også ivaretas ved at deltagerne viser gyldig legitimasjon.
- Er pasienten kjent for helsepersonellet, vil video av pasienten kunne oppfylle kravet om entydig identifisering. Risikovurderingen skal dokumentere dette.
- Helsepersonell skal autentiseres på en sikker måte. Risikovurderingen skal fastsette hva som er sikker måte.
- I tilfeller der det er umulig å sikre entydig identifikasjon, f.eks. ved kognitiv svikt hos pasient, kan et alternativ være å sikre entydig identifisering av utstyret.
Se mer i Normen kap 5.2 Tilgangsstyring.
Entydig identifisering av utstyr levert av virksomheten (Autentisering)
- For utstyr levert av virksomheten er utgangspunktet at løsningene er installert og konfigurert med faste kommunikasjonspunkter som kan være behandlingsrom eller hjemmet til pasienten.
- Om risikovurderingen konkluderer med at det er behov for autentisering av utstyret på en sikker måte, kan det gjøres med for eksempel:
- MAC-adresse, IMEI-nummer eller bruk av offentlig og privat nøkler som genereres på utstyret. Den offentlige nøkkelen må deles med tjenesten ved oppsett. Nøkkelparet er ulikt for hver løsning i virksomheten.
- Nettverksautentisering basert på for eksempel sertifikater.
- Tildeling av slike autentiseringskriterier skal gjøres på en betryggende måte som vil si etter fastsatte prosedyrer.
Se mer i Normen kap 5.2 Tilgangsstyring.
Kryptering av kommunikasjon
- All kommunikasjon utenfor virksomhetens kontroll, skal krypteres.
- All kryptering og dekryptering mellom kommunikasjonspunkter i infrastrukturen skal gjøres i godkjent utstyr virksomheten har kontroll med. Hvis det benyttes leverandør til dette, skal det sikres at databehandleravtalen dekker leverandørens behandling av personopplysninger.
Se mer i Normen kap 5.3.5 Kryptering.
Logging av hvem som har hatt tilgang til eller fått utlevert helseopplysninger
- Videokonsultasjon skal følge samme dokumentasjonsplikt som ordinære konsultasjoner.
- Videokonsultasjon mellom pasient og helsepersonell skal logges.
- Hvis videokonsultasjon ikke har funksjonalitet for automatisert logg, skal helsepersonellet manuelt logge at det er gjennomført videokonsultasjon med pasient, ved nedtegnelse i pasientens journal.
Se mer i Normen kap 5.4.4 Logging.
Ivareta taushetsplikten
- På samme måte som ved fysisk oppmøte, vil helsepersonellovens regler om taushetsplikt være styrende for selve samtalen og behandling av informasjon som fremkommer.
- Virksomheten må ha rutiner som ivaretar taushetsplikten ved videokonsultasjon.
- Hvis man f.eks. skal utføre en videokonsultasjon hjemmefra, må det vurderes hvordan man skal overholde taushetsplikten. Eks. sitte i et rom som er avskjermet fra innsyn fra familie/tredjeparter, skjerming av lyd osv.
- Virksomheten må ha en teknisk løsning og/eller rutine som sikrer at kun godkjente deltagere deltar i videokonsultasjon.
- Det må være synlig hvem som til enhver tid deltar i samtalen.
- Deltar flere pasienter skal alle pasientene få informasjon om dette.
Se mer i Normen kap 4.2.1 Taushetsplikten.
Lagring av samtaler og data om samtaler, samt deling av dette
- Innhold fra samtalene skal ikke lagres i videoløsningen, med mindre videoløsningen er/ er en del av et behandlingsrettet helseregister.
- Virksomheten må sikre at leverandøren av videoløsningen ikke deler data om samtalene (samtaleparter, varighet osv.) med tredjeparter.
Personvernrettigheter
- Virksomheten skal sikre at videoløsningen ivaretar partenes personvernrettigheter på en enkel og god måte.
- Løsningen skal ikke forutsette at det gis tilgang til andres personopplysninger fra samtalepartenes utstyr - f.eks. dersom man får full tilgang til kontakter i hverandres kontaktlister.
Se mer i Normen kap 4.2 Plikter og krav ved behandling av helse- og personopplysninger.
Innebygget personvern
- Videokonsultasjon-løsningen skal oppfylle personvernforordningens krav til innebygd personvern.
- I de tilfellene det krever en spesiell konfigurasjon for å ivareta sikkerhet, personvern og taushetsplikten på best mulig måte må det tydelig fremgå, både til helsepersonell og pasient, hvilke innstillinger som skal velges.
- Leverandør bør kunne bistå med dette.
