REVISIONSRAPPORT. Granskning av. Landstingets vårdadministrativa system VAS tillämpning av sekretessregler. Inom Norrbottens läns landsting

Transkript

1 REVISIONSRAPPORT Granskning av Landstingets vårdadministrativa system VAS tillämpning av sekretessregler Inom Norrbottens läns landsting Oktober 2003 Hans Rinander Ellinor Nybom

2 INNEHÅLLSFÖRTECKNING 1. Bakgrund Uppdrag, syfte och metod Metod Behörigheter i VAS Registrering och borttag av användare Behörighetsgrupper och formulär i VAS Resultat Tillämpning av sekretessregler Behörigheter Våra kommentarer

3 1. Bakgrund Individuell dokumentation om patienten under vårdepisoden är av central betydelse för att patienten ska få en lämplig vård. Dokumentationen samlas i patientjournalen som avser alla de handlingar som upprättats eller inkommit under vården och som innehåller uppgifter om patientens hälsotillstånd eller personliga förhållanden. Anteckningar om behandlingsåtgärder av olika slag tillhör också journalen. Journalen innehåller alltså sådan information som kan anses som mycket känslig ur integritets- och sekretessynpunkt. Därför är det viktigt att den bara är tillgänglig för den som direkt eller indirekt deltar i den speciella vården och behandlingen av den unika patienten. Landstingets hantering och förvaring av journalinformation ingår i det vårdadministrativa systemet VAS. Systemet stödjer i princip all landstingets vård- och patientadministration. Systemet har över användare som genom sin behörighet har tillgång till medicinsk information från systemet. I VAS finns en logg-funktion som registrerar de åtgärder som användarna gör i systemet. Det har funnits incidenter på nationell nivå som påvisat faktiskt och möjligt missbruk under de senaste åren. Detta har bl a massmedia rapporterat om. Anställda har vid några av landets sjukhus läst patientjournaler utan att de haft del i vården av patienten. Detta har blivit känt genom användarnas behörighetskoder och IT-systemens loggfunktion. Nedan beskriver vi kortfattat de legala krav som berör sekretessen i den offentliga hälso- och sjukvården och där främst tillgången till patientjournalen. Patientjournalen och sekretessen Två typer av sekretess förekommer inom den offentliga hälso- och sjukvården; yttre och inre sekretess. För denna gransknings vidkommande är det främst den inre som berörs. Den yttre sekretessen regleras i sekretesslagen (1980:100). Enligt sekretesslagen gäller sekretess för uppgift om den enskildes hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom lider men. Man får alltså inte obehörigen röja vad man i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga angelägenheter. Den inre sekretessen inom den offentliga hälso- och sjukvården regleras i patientjournallagen (1985:562) och tillhörande föreskrift och allmänna råd från Socialstyrelsen (SOSFS 1993:20). Lagens 7 anger att varje journalhandling skall hanteras och förvaras så, att obehöriga inte får tillgång till den. Enligt föreskrifterna och allmänna råden kräver respekten för patientens integritet att man begränsar tillgängligheten till journalen. Verk- 3

4 samhetschef, eller den som annars svarar för journalerna enligt arkivlagen, ska se till att de sekretesskyddade handlingarna förvaras och hanteras på ett betryggande sätt, vare sig de förs manuellt eller med IT-stöd. Journalen ska i princip bara vara tillgänglig för den som direkt eller indirekt deltar i vården och behandlingen av patienten. Vid vården av en patient på en enhet är det också bara en begränsad del av personalen som i sitt arbete behöver tillgång till uppgifterna i journalen. Det som i det här sammanhanget komplicerar bilden är den tekniska utvecklingen med journaler som har IT-stöd. Många patienter vårdas vid samma vårdtillfälle inom flera enheter. Uppgifterna från olika enheter kan då lagras i samma databas, vilket gör att fler personer tekniskt och med rätt behörighet har möjligt att få tillgång till informationen. Detta kan i och för sig vara önskvärt ur effektivitetssynpunkt, men ökar risken för olovliga intrång. Enligt en av Socialstyrelsen genomförd översyn av patientjournalen (överlämnad till regeringen ) kan det finnas skäl till att förtydliga bestämmelserna i patientlagens 7. Detta pga att det förekommer en del intrång i journalmaterial som inte är föranledda av arbetet vid vårdenheten. Orsaker kan vara medvetna överträdelser av bestämmelserna, eller att man inte är medveten om det felaktiga i att läsa journaler som man inte behöver i sitt arbete. En regel behöver alltså införas i lagen som tydligt markerar det felaktiga i att utan skäl ta del av journaluppgifter. Här bör också markeras att verksamhetschefen ytterst ansvarar för att personalen vid dennes enhet följer de regler som gäller om inre sekretess. Inom landstinget används ett sekretessbevis som ska undertecknas av all vårdpersonal inom landstinget i samband med anställning och vid anställningens upphörande. Beviset tydliggör för den anställde betydelsen av sekretess inom hälso- och sjukvården och att sekretess råder för uppgifter den anställde tagit del av inom sin anställning även efter avslutad anställning. Landstinget har även antagit styrdokumenten riktlinjer för informationssäkerhet och säkerhetsinstruktion som ger vägledning inom informationssäkerhetsområdet. 4

5 2. Uppdrag, syfte och metod Komrev har på uppdrag av landstingets revisorer granskat hur ett antal anställda använt sin behörighet för att få tillgång till patientinformation via VAS. Granskningen har som syfte att via VAS loggfunktion undersöka om användare nyttjar systemet för sin uppgift, enligt tilldelad behörighet. 2.1 Metod Metoden för granskningen har vuxit fram under granskningens gång vid samtal med VASexperter och med företrädare för vården. Utgångspunkten har varit VAS behörighetssystem (avsnitt 3) och de logglistor som kan produceras ur VAS loggfunktion. I loggfunktionen registreras alla de åtgärder som användarna, utifrån sin behörighet, gör i VAS, dvs de uppgifter som registreras om patienten och de sökningar efter patienten som utförs. I funktionens logglista per patient redovisas de användare (användarid) som nyttjat systemet, användarens namn i klartext, patientens personnummer, patientens namn, vilken funktion i VAS som användaren nyttjat samt datum och mellan vilka intervall (klockslag) som detta har skett. Vi har granskat 66 vårdtillfällen/patienter vid Sunderby sjukhus. För dessa utvalda patienter togs logglistor fram (en lista per patient). Därefter har revisionen i samarbete med ansvarig läkare (verksamhetschef, sektionschef) samt erfarna sjuksköterskor och läkarsekreterare undersökt om de användare som registrerats på logglistan, direkt eller indirekt deltagit i vården och behandlingen av respektive patient. Vårdpersonalens medverkan i granskningen har varit ofrånkomlig. Varje vårdepisod är unik. Olika vårdgivare är inblandade kring vården av den enskilde patienten och ibland också olika vårdenheter. Därför måste revisionen nyttja vårdpersonalens kunskap om varje patients unika vårdepisod. Således har ansvarig chef och andra företrädare för vården varit med och granskat sig själva i denna studie. Rapporten har sakgranskats av ansvariga vid vissa enheter. 5

6 3. Behörigheter i VAS Det som ger användaren möjlighet att titta, registrera och söka i VAS medicinska information är VAS behörighetssystem. 3.1 Registrering och borttag av användare Klinikchefen måste göra en skriftlig anmälan om behörighetsregistrering för att användaren ska kunna få tillgång till VAS. Länsteknik/drift och teknik via IT-samordnarna måste först lägga upp användaren 1 i landstingets nätverk med en unik bokstavskombination (användarid) innan behörighet till VAS knyts. Behörighet till VAS ordnas av VAS-administratören (på kliniknivå) via IT-samordnaren. Användaren får tillgång till någon av klinikernas behörighetsgrupper 2 samt journaltyper 3 (se nästa avsnitt). En användare kan beroende på sina arbetsuppgifter ha behörighet till flera kliniker. I och med detta kan användaren också ingå i olika behörighetsgrupper. Användaren kan om denna har behörighet till VAS logga in på vilken PC som helst inom landstinget som är ansluten till VAS. Under jourtid kan personal i VAS-jouren få förfrågan om att lägga upp användare som saknar behörighet till VAS. Rutinen är den att VAS-jouren ringer upp enhetschef eller annan personal vid kliniken för att få bekräftat att användaren ska läggas upp i VAS samt vilken behörighetsgrupp som användaren ska anslutas till. Borttag av användare görs rutinmässigt av VAS-administratören vid respektive klinik via ITsamordnarna när meddelande om detta erhållits från verksamhetschef eller enhetschef. VASadministratören för listor på aktuella användare inom respektive enhet. I samarbete med IT- 1 Användare: en person som är upplagd med vissa grunduppgifter om anställning och personliga data. Personen har tilldeltats ett användarid med kopplat lösenord. 2 Behörighetsgrupper: grupper av användare som har samma/liknande behov av patientrelaterad information för att utföra sitt patientarbete på den speciella kliniken. Till varje behörighetsgrupp knyts ett antal formulär i VAS. Behörighetsgrupperna är klinikspecifika. 3 Journaltyper: kan liknas vid mallar som styr informationsflödet avseende patienter vid respektive klinik utifrån användarens individuella behov. Exempel på journaltyper är läkarjournal, sköterskejournal, epikrisjournal och sekretessjournal. Det är användarens behörighet till olika journaltyper som avgör vilken information han/hon kan läsa och skriva. För att kunna läsa information som finns i en sekretessjournal krävs att användaren har den journaltypen upplagd/registrerad. Det räcker inte med att man har journaltypen läkare eller sköterska. Journaltyperna är klinikspecifika. 6

7 samordnarna vid lokala staben görs regelbundna genomgångar av listan med aktuella användare för att säkerställa att rätt användare finns upplagda i systemet. 3.2 Behörighetsgrupper och formulär i VAS Behörighetsgrupperna är klinikspecifika. Varje klinik anger själv vilka formulär i VAS 4 som ska knytas till respektive behörighetsgrupp. Innehållet i behörighetsgrupperna styr vilka formulär i VAS som gruppmedlemmarna kan arbeta med. Det är inte ovanligt att klinikerna har 20 olika behörighetsgrupper upplagda. Verksamhetschefen är ansvarig för utformning av de behörighetsgrupper som finns vid respektive enhet samt vilka funktioner och journaltyper i VAS som ska vara knutna till respektive grupp. VAS-administratör vid respektive klinik ansvarar för beställning och utformning av användarnas behörighet i VAS på uppdrag av verksamhetschefen. Det vill säga beskriver hur behörighetsgrupperna ska utformas och vilka funktioner som ska kopplas till respektive grupp samt vilka journaltyper som respektive användaren ska få se. Underlaget skickas till IT-samordnarna (lokala staben) som utför upplägget i VAS. Inom Sunderby sjukhus är behörighetsgrupperna förhållandevis öppna mellan klinikgränserna för att det skall vara möjligt att följa patienten genom hela vårdkedjan. Begränsningar görs via respektive användare och de journaltyper som användaren är behörig att läsa och skriva i. Undantaget från denna princip är vuxenpsykiatrins journaler. Dessa har endast användare vid enheten behörighet till. Övriga kliniker använder sig i vissa fall av journaltypen sekretessjournal för att begränsa möjligheten för användare, utan behov av sekretessbelagd information, att ta del av sådan information. 4 Ett formulär i VAS är en bild som ger användaren möjlighet att ta del av information och själv lämna information kring aktuellt område och patient. Det finns 750 formulär i VAS. I kombination med behörighet till journaltyp och ev husläkare ges användaren tillgång till journalinformation. 7

8 4. Resultat 4.1 Tillämpning av sekretessregler Granskningen av logglistor genomfördes av revisionen i samarbete med läkare, sjuksköterskor och läkarsekreterare. Valda patienters logglistor för hela vårdtillfället, dvs allt som registrerats och sökts, granskades med avseende på om de loggade användarna på något sätt hade haft del i patientens vård under aktuell period och haft behov att ta del av medicinsk information kring patienten. Denna omfattande kontroll av logglistorna per patient visade att en anställd inom Sunderby sjukhus läst information om en patient utan att ha behövt informationen i den omfattningen som det gällde för att kunna delta i vården av aktuell patient. Kontrollen visade också att en annan anställd inom sjukhuset läst information om en patient utan att ha haft någon del i vården av aktuell patient. Inom Sunderby sjukhus enheter görs inte på egna initiativ systematiska granskningar av logglistor enligt denna metod, men det händer att patienter ber att få utdrag av sin logginformation. Ansvarig läkare prövar då om informationen ska lämnas ut, dvs om utlämnandet inte är till men eller äventyrar en pågående behandling. Vid dessa tillfällen bidrar verksamheten med utdrag från VAS samt går igenom logglistan med patienten för att kunna förklara eventuella frågor som patienten får med anledning av genomgången. Den vårdpersonal som medverkat i granskningen har spontant ansett att detta varit mycket bra och att de själva i framtiden kan tänka sig att använda loggfunktionen för att själva göra kontroller enligt revisionens modell. Ansvariga uppger att användare i allmänhet har god insikt hur man, enligt sekretesslagen och patientjournallagen ska nyttja informationen i VAS. 4.2 Behörigheter Det är inte ovanligt att varje klinik har över 30 behörighetsgrupper med tillhörande funktioner i VAS upplagda. När en användare ska tilldelas behörighet till VAS sker detta genom en skriftlig förfrågan från VAS-administratören inom kliniken till IT-samordnarna vid lokala staben. Oftast kommer förfrågan via e-post och det finns ingen enhetlig disposition/form. Behörighetsgrupperna är klinikspecifika och byggs idag upp utifrån unikt sammansatta användargrupper. Möjligheten för varje klinik att lägga upp sina grupper har givit ett brett spektra av behörighetsgrupper som ibland liknar varandra avseende knutna formulär i VAS. 8

9 IT-samordnarna har i samband med denna granskning beslutat sig för att initiera en genomgång av samtliga behörighetsgrupper med knutna formulär vid Sunderby sjukhus för att minska floran av behörighetsgrupper och skapa ett basutbud att välja från. Möjligheten för klinikerna att skapa egna grupper kommer dock även i fortsättningen att finnas kvar. Under granskningen har vi upptäckt att informationen om användares tidigare behörighet försvinner då användaren tas bort från VAS. Denna information kan inte återsökas eller återskapas. 9

10 5. Våra kommentarer Ur de i stickprovet ingående patientjournalerna har uppmärksammats att två anställda otillbörligt tagit del av patientinformation vid Sunderby sjukhus. I sammanhanget är det viktigt att komma ihåg att vi i detta urval endast granskat en liten del av totala antalet besök eller inläggningar vid sjukhuset. Vi ser allvarligt på detta och vill tydliggöra att det är verksamhetschefens ansvar att säkerställa att användarna använder VAS enligt tilldelad behörighet och att de ansvarar för att göra användarna uppmärksamma på att det är olagligt att läsa journaler som man inte behöver i sitt arbete. Metoden enligt denna granskning har inneburit krav på medverkan av vårdpersonal som har kännedom om varje patients unika vårdtillfälle. Detta förhållande kan påverka trovärdigheten i det resultat som framkommit. Men vi har uppfattat att de läkare, sjuksköterskor och läkarsekreterare som deltagit, intagit en objektiv och professionell hållning till granskningsarbetet och kritiskt granskat loggade användare, dvs sina kollegor. Vi anser att det inte finns anledning till att ifrågasätta deras bedömningar. Vi uppfattar vidare att verksamhetsledningar vid sjukhusets vårdenheter har funnit granskningens metod intressant och att de framgent kommer att göra egna systematiska kontroller med denna inriktning. I sammanhanget anser vi att det generellt är väsentligt att vårdpersonalen får vetskap om att sådana kontroller görs. Detta för att förebygga eventuella intrång i VAS som inte föranleds av arbetet vid vårdenheten. Den blankett Sekretessbevis som ska undertecknas av den anställde och som visar att den anställde är informerad om de sekretessregler som gäller anser vi är en grundsats som tillsammans med egna utförda förebyggande kontroller kan minska risken för intrång inom landstingets vårdadmininstrativa system. Vi har i samband med denna granskning gjort andra iakttagelser knutna till VAS, vilka tangerar granskningens inriktning. Landstinget saknar en helhetsbild över hur uppföljning av loggar fungerar. Som revisionen tidigare påpekat i granskningen av VAS 2001 anser vi att landstinget bör överväga centralt övergripande direktiv när det gäller den löpande kontrollen, exempelvis vad som ska tas fram om det som registreras och söks om patienten, hur ofta uppgifter ska tas fram, av vem och under vems ansvar. Vi anser att landstinget bör använda sig av en standardiserad blankett vid tilldelning av en behörighet. Idag tilldelas behörigheter vid skriftliga förfrågningar utan någon enhetlighet. En 10

11 blankett bör finnas som ska signeras av aktuell chef och användare samt innehålla en uppmaning om att anmäla när behörigheten upphör. Vi anser vidare att landstinget bör ta initiativ till en övergripande genomgång av samtliga behörighetsgrupper för att på detta sätt skapa en enhetlig struktur inom alla sjukhus. Detta skulle förenkla handhavandet och ge ökad kontroll. En sådan genomgång har också påbörjats vid Sunderby sjukhus på initiativ och medverkan av sjukhusets lokala IT-samordnare. Vi konstaterar också att det inte går att kontrollera vilken behörighet personer haft som tagits bort som användare ur systemet. Vi har här inte fördjupat oss i frågan, men anser att det är en svaghet i systemets möjlighet till spårbarhet. 11