Riktlinjer för samtal med medarbetare beträffande loggranskning

Transkript

1 Dokumenthistorik Utgåva nr Giltig fr o m Giltig t o m Kommentar till ny utgåva Godkänd av (titel, namn, datum ) Mindre justering av dokumentet Mindre justering av dokumentet och ändrat ansvar för riktlinjen Reviderad giltighetstid Bytt från diarienummer Dnr VPC- 2009/161 samt information i sidhuvud p.g.a. omorganisation. Förlängt giltighetstid. Informationssäkerhetsansvarig/landstingsjurist Informationssäkerhetsansvarig / landstingsjurist, Informationssäkerhetsansvarig / landstingsjurist, Informationssäkerhetschef Lars Åke Pettersson, Justering av dokumentet HR-strateg Torbjörn Eriksson, Chefsjurist Sofia Malander, r för samtal med medarbetare beträffande loggranskning HR-strateg Torbjörn Eriksson, Landstingsjurist Sofia Malander, r för samtal med medarbetare beträffande loggranskning Inledning Sedan patientdatalagen trädde i kraft den 1 juli 2008 har patienten rätt att på begäran få information om vilken direktåtkomst och elektronisk åtkomst till uppgifter om honom eller henne som förekommit, s.k. loggar. Landstinget har en skyldighet att kontinuerligt loggranska, både vid misstanke om obehörigt intrång och stickprovsmässigt, för att både förebygga och upptäcka missbruk. Det är viktigt att misstanke om dataintrång följs upp och utreds med hänsyn till utsatt patient, misstänkt medarbetare och allmänhetens förtroende för landstinget. Samtal med medarbetaren Vid misstanke om att en medarbetare tagit del av patientinformation i ett vårdsystem, utan att delta i vården av patienten i LiÖ eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården, så kallat dataintrång, ska verksamhetschefen utreda misstanken. Loggranskning ska alltid genomföras vid misstanke om dataintrång. Verksamhetschefen ska kalla medarbetaren till möte och ge medarbetaren möjlighet att förklara skälen till aktuell logg och den åtgärd som framkallat loggen. Inför ett sådant samtal ska verksamhetschefen informera medarbetaren om möjligheten att ta med en facklig representant. Vid samtalet bör verksamhetschefen ställa följande frågor: 1. Varför har medarbetaren sökt information om denna patient? 2. Har medarbetaren i samband med att denne sökt information om patienten deltagit i vården av patienten i sitt uppdrag som medarbetare i LiÖ eller av annat skäl behövt uppgifterna för sitt arbete i LiÖ? I så fall, redogör för detta.

2 3. Känner medarbetaren patienten eller har någon annan anknytning med patienten privat? 4. Vilken information har använts och till vad? 5. Om medarbetaren har valt att bryta mot bestämmelserna i patientdatalagen och/eller offentlighets- och sekretesslagen vad är skälet till detta? Om medarbetaren uppger att han/hon inte känner till bestämmelserna - fråga då hur detta kan komma sig eftersom denna information lämnas vid anställningen och vid utbildningarna i Cosmic. Verksamhetschefen ansvarar för att dela ut skriftlig information om patientdatalagen och offentlighets- och sekretesslagen till medarbetaren vid mötet (sammanfattningar av både patientdatalagen och offentlighets- och sekretesslagen finns på Lisa under Juridiksidan - Juridiksidan/Lagar/). Dokumentation och åtgärder Medarbetarens svar ska dokumenteras i ett protokoll (använd bifogad mall) och medarbetaren ska ges möjlighet att läsa igenom det för att sedan med sin underskrift bekräfta att innehållet överensstämmer med vad som sagts vid mötet. Samtliga personer som deltar vid mötet ska få ett exemplar av protokollet. Om medarbetaren uppger att han/hon inte minns varför han/hon tagit del av aktuell information kvarstår misstanke om olovlig användning. Verksamhetschefen bör ta ställning till huruvida medarbetarens behov av sökt information verkar rimlig eller inte, beroende på den egna verksamhetens uppdrag, arbetssätt och organisation. Medarbetaren ska, vid behov, få information om de följder som kan bli aktuella vid dataintrång. De åtgärder som kan bli aktuella är arbetsrättsliga åtgärder och en polisanmälan utförd av landstinget. Polisanmälan kan leda till straffrättsliga åtgärder. Vid fortsatt och/eller stärkt misstanke om dataintrång Verksamhetschefen kontaktar et och/eller landstingsjurist. Personuppgiftsombudet/landstingsjuristen tar sedan ställning till om en polisanmälan ska göras. Verksamhetschefen informeras innan en eventuell polisanmälan med möjlighet att lämna synpunkter. En kopia av det upprättade protokollet skickas till et, ledningsstaben, Linköping. Verksamhetschefen ska vid kännedom om eventuellt dataintrång skyndsamt ta kontakt med HR-konsult/HR-chef för ställningstagande om eventuella arbetsrättsliga följder. Bevarande av anteckningar Då ett ärende inte föranlett någon varning ska protokollet från mötet bevaras (i låst utrymme) hos aktuell verksamhetschef.

3 Om ärendet däremot föranlett varning och/eller åtgärder ska originalet skickas till löneservice för förvaring i personakt och en kopia sparas hos verksamhetschefen. Protokollet ska beläggas med sekretess.

4 2(2) Protokoll från samtal med medarbetare beträffande loggransking Medarbetarens namn HSAID Befattning Personnummer Arbetsplats Datum för samtalet Övriga deltagare (ange namn och befattning) vid samtalet Varför har medarbetaren sökt information om denna patient? Har medarbetaren i samband med att denne sökt information om patienten deltagit i vården av patienten i sitt uppdrag som medarbetare i LiÖ eller av annat skäl behövt uppgifterna för sitt arbete i LiÖ? I så fall, redogör för detta Känner medarbetaren patienten eller har medarbetaren någon privat anknytning till patienten? 4. Vilken information har använts och till vad? 5. Om medarbetaren har valt att bryta mot bestämmelserna i patientdatalagen och/eller offentlighets- och sekretesslagen vad är skälet till detta?

5 2(2) Har medarbetaren kännedom om offentlighets- och sekretesslagen samt patientdatalagen? Ja Nej Har information lämnats till medarbetaren om ovanstående lagstiftning under mötet? Muntligt Skriftligt Ingen information har lämnats Protokollet upprättat av: Namn, befattning Verksamhet och ort Jag har tagit del av protokollet och förstår innebörden i patientdatalagen och offentlighets- och sekretesslagen samt förstår att dataintrång kan medföra uppsägning/avsked. Medarbetarens underskrift