Inspektion enligt personuppgiftslagen (1998:204)

Transkript

1 Protokoll Dnr Inspektion enligt personuppgiftslagen (1998:204) Tillsynsobjekt: Gotlands kommun, hälso- och sjukvårdsnämnden (nämnden) Tid: torsdagen den 28 oktober 2004, kl Plats: Visby lasarett, S:t Göransgatan 3 11 i Visby Närvarande från nämnden: enhetschef MIT Gunilla Allard, teknikkoordinator Jan Broman, nämndsekreterare Christina Eklund, enhetschef MIT Christina Lindström, försörjningschef/it-ansvarig Bo Magnusson, nätverkssansvarig Mikael Ståhl, chefsläkare Andrea Widén, IT-strateg Håkan Wibom. Närvarande från Datainspektionen: avdelningsdirektören Suzanne Carlsson Isberg, byrådirektören David Säfwe samt IT-inspektören Mats Jönsson. Syftet med inspektionen framgår av inspektionsbekräftelsen daterad den 6 oktober Organisation m.m. Kommunens organisation, organisationsöversikt för Hälso- och sjukvårdsnämnden, IT-organisation, IT-säkerhet och förvalningsorganisation presenteras. De bilder som visas i samband med presentationen ges samma dag in per e-post, bilaga 1 5. Kompendiet Netikett (Riktlinjer för användning och handhavande av HSF:s IS/IT-system), bilaga 6, ges in. Nämnden upplyser om att en översyn av de ITdokument som är gemensamma för hela kommunen pågår samt att hälso- och sjukvårdsförvaltningen dessutom arbetar med att ta fram ett eget IT-dokument. Kompendium sammanställt för Datainspektionens besök, bilaga 7, ges in. TakeCare-systemet TakeCare-systemet innebär att patienten har en gemensam journal för hela sjukhuset. Det finns 180 vårdplatser inklusive psykiatriska vården. Det enda sammanhang när någon utanför sjukhuset ges möjlighet till direktåtkomst till patientjournaler är i samband med så kallad samordnad vårdplanering. Efter patientens samtycke kan berörd disktriktssköterska och disktriktsläkare inom Gotlandssjukvårdens primärvård få tillgång till patientens Postadress: Box 8114, STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: Webbplats: Telefax:

2 2 (4) journaldokumentation vid Visby Lasarett. Information om samtycke till patient/anhörig i samband med samordnad vårdplanering ges in, bilaga 8. Patientens samtycke måste markeras i en särskild ruta i TakeCare, se utskrift bilaga 9. De läkare och sköterskor som har patienter med samordnad vårdplanering har i dagsläget endast behörighet att läsa i journalerna. Utlämnande av patientuppgifter till Stockholms läns landsting kan endast ske efter beslut av ansvarig överläkare. Denna hantering inom samverkansnämnden sker i dag på papper beträffande epikriser men kommer på sikt att ske elektroniskt genom TakeCare när sekretessfrågan har lösts. Varken lab- och röntgensvar är i dagsläget integrerat i TakeCare. Svaren hanteras per papper. I röntgensystemet Konrad går det att ta del av svaret för den som har behörighet och tillgång till patientens personnummer. Elektroniska remisser sänds till Konrad. Foldern informationssäkerhet breddinförande TakeCare vid HSF, bilaga 10, ges in. Adressregister Adressregistret uppdateras automatiskt var sjunde dag. Vid behov kan uppdatering av en enskild patient ske mellan dessa automatiska uppdateringarna. Vad gäller de fåtal patienter som har skyddad adress/identitet syns endast deras födelsedata i adressregistret. Registerutdrag Begäran om registerutdrag är ovanliga. Det finns dock fungerande rutiner för att besvara sådana. Id-kontroll Patienternas identitet kontrolleras alltid i centralkassan i samband med vårdbesök. I TakeCare-systemet finns, till skillnad från vad som var fallet med Medidoc-systemet, en obligatorisk ruta angående att patienten legitimerat sig som måste markeras. Mer om identitetskontroll av vårdtagare i Hälso- och sjukvården på Gotland framgår av bilaga 7, flik 8. Information Rutiner för information till patienterna enligt 11 vårdregisterlagen samt informationen i kort respektive utförlig version framgår av bilaga 7, flik 3. Landstingets patientinformation ska finnas tillgängliga på Landstingets samtliga kliniker. Vid kontroll i centralkassan noteras att patientinformationen finns uppsatt.

3 3 (4) Information från Gotlands kommuns webbsida angående patientens journal ges in, bilaga 11. Övrigt Övriga elektroniska system som används är Opus-tandvårdssytem, Medidoc, Primula, Vanja (endast läsfunktionen), kem- och baktlab, samt ett 50-tal mycket små system, främst inom öron-, näsa-, halskliniken. Det är i dagsläget inte aktuellt att låta patienter ta del av journaluppgifter via Internet. IT-säkerhet Dokumenten Översiktskarta på Lasarettets datanätverk, bilaga 12, samt ITsäkerheten i Gotlands kommun och vid Visby Lasarett, bilaga 13 ges in. I övrigt vad gäller IT-säkerhet, se bilaga 14. Infektionskliniken besöks varvid följande antecknas. Verksamhetschef Sture Persson och läkarsekreterare Elisabeth Munkhammar närvarar från kliniken. Kliniken använder inte trådlösa nät. TakeCare-systemet, bland annat samordnad vårdplanering, förevisas. Det antecknas att inga uppgifter om patienten utöver namn och personnummer syns i grundbilden i systemet för respektive patient, se utskrift bilaga 15. Detta är ett exempel på så kallad förfiltrering. Vid kontroll i klinikens väntrum noteras att patientinformationen finns uppsatt. Kvinnokliniken besöks varvid följande antecknas. Överläkare Tore Uggerud och läkarsekreterare Maria Karlström närvarar från kliniken. De två datorer som ingår i det trådlösa nätet förevisas. Det antecknas att datorerna monterats på egna vagnar och att vagnarna är inlåsta på expeditionen när de inte används. Det går att komma åt samma information genom de bärbara datorerna som genom de stationära. En särskild inloggning är dock nödvändig.

4 4 (4) Kontroll av loggar förevisas. Vid kontroll i klinikens väntrum noteras att patientinformationen finns uppsatt. Lasarettets datorhall förevisas. Datainspektionen avslutar med att dels kort informera om tilläggsdirektivet till Patientdatautredningen, dels redogöra för den fortsatta handläggningen av ärendet. Vid protokollet Justeras David Säfwe Suzanne Carlsson Isberg

5 Protokoll Dnr IT-säkerhet Allmänt Dokumentet IT-säkerheten i Gotlands kommun och vid Visby Lasarett, bilaga 13 (daterad ) är en översyn av IT-säkerheten gjord av extern konsult med kommunens synpunkter tillagda med fet stil. WLAN På lasarettet i Visby finns ett trådlöst nät uppsatt som täcker hela lasarettet. Det ska också finnas accesspunkter uppsatta på vårdcentralerna även om de inte används ännu. En beskrivning av det trådlösa nätet finns i den inlämnade översiktskartan, bilaga 12. Det är bara kvinnokliniken som i dagsläget har ett WLAN i drift. Dokumentation angående IT-säkerhet, t.ex. säkerhetspolicy IT-strategi fastställd av kommunfullmäktige samt IT-riktlinjer fastställda av kommunstyrelsen framgår under bilaga 7, flik 7. All dokumentation finns tillgänglig på intranät, gemensam disk eller har delats ut vid utbildning. Ansvarig för IT-säkerheten Organisation och ansvarsfördelning finns angivet i ovan nämnda IT-riktlinjer. Rutiner för incidenthantering Vid inträffade incidenter ska kontakt tas med helpdesken på Medicinsk IT och dokumentation (MIT). Informationssäkerhetsutbildning Alla användare får utbildning i journalsystemet Take Care av särskilda ITstödjare. I denna utbildning ingår även IT-säkerhet. Tillträdeskontroll och skärmsläckare Alla system förutom Take Care är placerade i lasarettets datorhall med begränsat tillträde. Take Care driftas på Huddinge sjukhus. En beskrivning av datakommunikationen finns i översiktskartan, bilaga 12. Postadress: Box 8114, STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: Webbplats: Telefax:

6 Säkerhetskopiering All backuptagning sker centralt på sjukhuset av bandrobot och sköts av MIT. Kontroll av backupband sker med hjälp av särskild programvara. Behörighetskontroll Rutiner för behörighetstilldelning finns och administreras av MIT. Behörighetssystemet håller på att ses över för att förbättras. Behandlingshistorik/logg Loggning sker i Take Care och kontroll av loggar sker vid misstanke om oegentligheter. På infektionskliniken är det tänkt att gå över till stickprovsvisa kontroller av loggen. I loggen visas endast öppning av journal. En logg åtkomlig i själva journalsystemet visar även åtgärder. Vid behov av mer detaljerade loggar kan Huddinge sjukhus ta fram sådana. Reparation, service och helpdesk Medicinsk IT och dokumentation (MIT) sköter all service och support på sjukhuset. Rutiner finns för att destruera kasserade diskar och band. Skydd mot skadliga program, t.ex. antivirus Program för virusskydd finns och administreras centralt från MIT. Kryptering av och filer All intern eposttrafik är krypterad. E-recept E-recept används inte idag men det är planerat att införas.