Tillsyn Koncernkontoret Området för informationsförsörjning och regionarkiv. Region Skånes gemensamma digitala kataloger

Koncernkontoret Området för informationsförsörjning och regionarkiv Enheten för informationsstyrning Datum: 2016-01-12 Dnr: 1501930 Dokumentslag: Redovisande Dokumenttyp: Rapport Tillsyn 2015 Region Skånes gemensamma digitala kataloger

Innehåll 1 SAMMANFATTNING...2 2 PRESENTATION...2 2.1 ORGANISATION...2 2.2 BAKGRUND...2 2.3 SYFTE...2 2.4 METOD...3 3 RESULTAT KONCERNKONTORET...3 3.1 VOLYMER...3 3.2 INNEHÅLL OCH HANTERING...3 4 RESULTAT SKÅNEVÅRD KRYH...4 4.1 VOLYMER...4 4.2 INNEHÅLL OCH HANTERING...5 5 SLUTSATSER...6 5.1 BRISTER I ATT MAPPSTRUKTURER ÄR INAKTUELLA...6 5.2 BRISTER I ATT INAKTUELL INFORMATION INTE RENSAS BORT...6 5.3 BRISTER I ATT DET FÖRVARAS UPPGIFTER OM ENSKILDA PATIENTER...6 5.4 BRISTER I STYRNING AV BEHÖRIGHETER...6 6 ÅTGÄRDER...6 6.1 ÅTGÄRDER ATT VIDTA FÖR ENSKILDA VERKSAMHETER...6 6.2 ÖVERGRIPANDE ÅTGÄRDER ATT VIDTA INOM REGION SKÅNE...7 BILAGA 1: KONCERNKONTORET BILAGA 2: SKÅNEVÅRD KRYH 1

1 Sammanfattning I enlighet med Regionarkivets uppdrag att utöva tillsyn över Region Skånes arkiv- och informationshantering har Regionarkivet undersökt hanteringen av gemensamma digitala kataloger i Region Skåne 1. Tillsynsområdet har omfattat kataloger som tillhör Koncernkontoret och Skånevård Kryh och resultatet visar att katalogerna innehåller stora mängder information men att katalogerna sällan används som primär förvaring av allmänna handlingar 2. Det finns dock märkbart bristande rutiner i behörighetsstyrningen och rensning av mappar och filer som inte längre är aktuella. Detta problem blir särskilt påtagligt för mappar som innehåller uppgifter om enskilda patienter (namn, personnummer eller fotografier), vilket har påträffats vid granskningen av mappar som tillhör verksamheter inom Skånevård Kryh. Åtgärder behöver vidtas övergripande men också av enskilda verksamheter i Region Skåne. Övergripande antyder resultaten att det i Region Skåne finns behov av en säker lagringsyta för digitala filer som innehåller patientuppgifter, personuppgifter eller andra uppgifter som i något avseende kan anses känsliga. Medan enskilda verksamheter behöver inventera, rensa bort inaktuell information och ordna aktuell information i enlighet med Regionarkivets avsedda instruktioner. 2 Presentation 2.1 Organisation Arbetet har genomförts av enheten för informationsstyrning. Enhetschef Boel Sjöstrand har varit tillsynsägare och arbetsgruppen har utgjorts av Daniel Hedman och William Åkerström. 2.2 Bakgrund I januari 2015 uppgick den sammanlagda mängden data i Region Skånes gemensamma kataloger till 30 terabyte och antalet filer översteg 42 miljoner 3. Det har inte funnits någon övergripande kontroll för hur kataloger används, verksamheter har själva avgjort vad mapparna ska användas till och vem som tilldelas behörighet. Inom Region Skåne har situationen för katalogerna tidigare uppmärksammats 4 men för Regionarkivet har det hitintills varit okänt i vilken utsträckning katalogerna används för att förvara information som utgör allmänna handlingar. 2.3 Syfte Regionarkivets tillsynsarbete syftar till att kontrollera att rådande lagar och regler efterföljs inom arkiv- och informationshanteringen. Detta arbete har specifikt syftat till att undersöka omständigheterna kring Region Skånes gemensamma digitala kataloger och i vilken omfattning allmänna handlingar förvaras där, samt bedöma vilka åtgärder som behöver vidtas direkt och på längre sikt. 1 Med gemensamma digitala kataloger avses kataloger/mappar som sorteras under G: eller I:. 2 Allmänna handlingar avser i sammanhanget upprättade eller inkomna handlingar som betraktas som original och som förvaras i digitala format för text, bild, eller ljud. 3 Uppgifterna beställdes från Tieto i januari 2015. Mängden data var 30 233 GB och antalet filer 42 033 828. Beställningen omfattade också uppgifter om mängden data i Region Skånes hemkataloger (H:), som uppgick till cirka 74,6 TB och 74 miljoner filer. 4 Till exempel har det på SUS skett en inventering av förvaltningens gemensamma mappar och inom uppdraget för dokumentstyrning har Region Skånes dokumentstyrningsstrateg undersökt mapparna och dess innehåll. 2

2.4 Metod Arbetsgruppen gjorde bedömningen att en utredning av samtliga förvaltningar i Region Skåne var för omfattande för arbetets tidsram, tillsynsområdet begränsades därför till kataloger som tillhör Koncernkontoret och Skånevård Kryh. Urvalet gjordes mot bakgrund av att tillsynen skulle omfatta såväl administrativ som vårdrelaterad information. Arbetsgruppen gjorde sammanställningar över mängden mappar, filer och data. Mapparna granskades därefter utifrån struktur och innehåll och för att få en bättre insyn i hanteringen av kataloger genomfördes också intervjuer med representanter från nio verksamheter. 3 Resultat Koncernkontoret Nedan följer sammanfattande resultat för kataloger som sorteras under Koncernkontoret. 3.1 Volymer I Koncernkontorets översta mappstruktur finns 56 huvudmappar, dessa innehåller cirka 151 000 undermappar. I mapparna förvaras 1,3 miljoner filer med en sammanlagd storlek av 1,45 terabyte. Mängden data sorterad utifrån tillhörande verksamhet ger följande fördelning: Projekt/Tillfälligt 4% Koncernstab kommunikation Koncernstab 10% kansli 4% Regionalt cancercentrum syd 1% Regiondirektör 2% Avdelningen för hälso- och sjukvårdsstyrning 5% Koncernstab HR 1% Koncernstab ekonomistyrning 14% Koncernledningen 0% Avdelningen för regional utveckling 59% 3.2 Innehåll och hantering En granskning av Koncernkontorets mappar visar att dessa främst används för att förvara information som ska betraktas som arbetsmaterial. Samtliga representanter som intervjuades framhöll också att mapparna i första hand har ett värde för verksamheten och att de inte används som primär förvaringsyta för färdigställda handlingar. Arbetsmaterial som förvaras är till exempel utkast, mallar och kontaktlistor som är till hjälp för medarbetare att utföra sina uppdrag, men det förvaras även foton från personalfester och liknande information som inte direkt relaterar till verksamheternas uppdrag. Trots att Koncernkontorets kataloger främst är av internt värde ska det inte uteslutas att där också förvaras handlingar som behöver bevaras, exempelvis instruktioner och andra typer av styrande dokument. Vid en genomgång av innehållet har det i vissa fall varit svårt att avgöra om färdigställda handlingar ska betraktas som original eller kopior. Till exempel gjordes en sökning på termen verksamhetsplan, vilket gav 956 träffar. Merparten utgörs av Wordfiler som med 3

stor sannolikhet skrivits ut och bevaras på papper, men det kan inte uteslutas att sökträffarna i vissa fall omfattar bevarandeexemplar. Ett generellt problem med Koncernkontorets kataloger är att det saknas systematisk åtskillnad av aktuell och inaktuell information. Granskningen visar också att det finns påtagliga brister i att mappar inte hålls uppdaterade och rensade. Detta tydliggörs till exempel av att många mappar tillhör avdelningar, enheter eller projekt som inte längre är aktuella eller som uppgått i andra verksamheter. Respondenter har i vissa fall berättat att det finns strategier för hur deras kataloger ska användas, men dessa strategier finns i regel inte dokumenterade utan kan bara återberättas av enskilda medarbetare. På samma sätt har det varit svårt att konstatera om det finns fastställda rutiner för behörighetsstyrning när medarbete byter anställning eller enhet. Respondenter har varit medvetna om vikten av behörighetsstyrning men ansvaret ligger i regel på enskilda medarbetare och finns inte dokumenterat. Granskningen och intervjuerna visar att gemensamma digitala kataloger fyller ett viktigt stöd för Koncernkontorets verksamheter. I vissa fall finns det förvaringsytor som kan ersätta mapparna men en respondent menade till exempel att SharePoint inte kan hantera tillräckligt stora filer (i det aktuella exemplet InDesign-filer) och att mapparna därför är det enda alternativet för gemensam förvaring. 4 Resultat Skånevård Kryh Nedan följer sammanfattande resultat för kataloger som tillhör Skånevård Kryh. 4.1 Volymer Den sammanlagda mängden data som förvaras i Skånevård Kryh:s gemensamma kataloger uppgår till 1,48 terabyte. Detta inkluderar mappar som sorteras under Skånevård Kryh och mappar som sorteras under tidigare organisationer. Sammanlagt rör det sig om cirka 186 000 mappar och 1,74 miljoner filer. Förvaltningsledning och stab 4% Specialiserad närsjukvård 3% Primärvård 0% Kirurgi 0% Övriga gemensamma 15% Habilitering och hjälpmedel 78% Skånevård Kryh (330 GB) sorterat efter division 691 GB 267 GB 154 GB 28 GB 10 GB Centralsjukhuset Kristianstad Habilitering & Hjälpmedel Hässleholms sjukhusorganisation Lasarettet i Ystad Primärvården (nuvarande Kryh) Tidigare organisation (1 150 GB) sorterat efter förvaltning 4

4.2 Innehåll och hantering Precis som bland Koncernkontorets mappar finns det hos Skånevård Kryh en stor variation i hur mappar och filer namnges och organiseras. På en övergripande nivå är mappar i regel namngivna utifrån en förkortning för ansvarig verksamhet och på en djupare nivå har mappar namngivits utifrån innehåll, namn på personal eller det sammanhang där informationen används. Omständigheterna överensstämmer också med Koncernkontoret på så vis att mappar framförallt används för att förvara arbetsmaterial, exempelvis utkast, kopior och annan information som är av tillfällig betydelse för ansvarig verksamhet. Majoriteten av den datamängd som tillhör Skånevård Kryh förvaras i mappar som sorteras under tidigare förvaltningar. Division Habilitering och hjälpmedel utgör ett undantag och har gått över till att förvara filer i mappar under Skånevård Kryh. Bakgrunden är att det inom Habilitering och hjälpmedel skedde en inventering och flytt av mappar i samband med övergången till Skånevård Kryh. Verksamheter inom divisionen rensade då bort innehåll som inte ansågs aktuellt och katalogerna flyttades och namngavs enligt en bestämd struktur (DivHab -verksamhet - enhet/grupp som har behörighet). Inom divisionen finns numera fastställda rutiner för vilken information som ska förvaras i katalogerna och rutiner för att tilldela och ta bort behörigheter när personal börjar eller slutar. En respondent som deltog i arbetet med att rensa mapparna vid organisationsförändringen påtalade dock att det inte finns några fastställda rutiner för att fortlöpande rensa inaktuell information, men att en sådan rutin vore önskvärd om det inte tog för mycket tid från övrigt arbete. Frånsett mappar som tillhör Habilitering och hjälpmedel finns det bland Skånevård Kryh:s mappar ett generellt problem att de inte är rensade från inaktuell information. Ett anmärkningsvärt resultat vid granskningen av mappar är att det i vissa fall förvaras fotografier på patienter. Fotografier som påträffats har inte namngivits efter patientens fullständiga namn eller personnummer men i vissa fall skulle patienter kunna identifieras. Fotografierna dokumenterar skador, utslag och andra synbara sjukdomssymptom men det förekommer också foton från obduktioner och operationer. I fallet med fotografier från obduktioner visade det sig att det inte finns några behörigheter kopplade till mappen och enhetschefen för nuvarande verksamhet kände inte till att mappen existerade. Troligt är därför att samtliga behörigheter tagits bort utan att mappen och dess innehåll rensats. Under tillsynen har det även påträffats listor, formulär och textdokument som innehåller uppgifter om enskilda patienter. Det mest anmärkningsvärda rör 592 formulär som upprättats av en enhet för mer än tio år sedan. I formulären förekom uppgifter om enskilda patienters hälsotillstånd, deras sociala förhållande och planerade vårdåtgärder. Vid en jämförande kontroll av de 46 personer som idag har behörighet till berörda mappar visade sig att tolv av dessa sannolikt inte ska ha behörighet till mapparna eftersom de inte är anställda på enheten. Berörd enhetschef kände inte till formulären och de har sedan rensats bort då de inte längre ansågs fylla något syfte. Exempel: Personal som hade behörighet till en mapp som innehöll uppgifter om enskilda patienter 2 12 RSID existerar inte längre 31 Personal som idag tillhör någon annan enhet Personal som tillhör ansvarig vårdenhet 5

5 Slutsatser En sammanvägd bedömning av insamlade resultat visar att Region Skånes gemensamma digitala kataloger i liten utsträckning används för att förvara information där det föreligger krav på bevarande. Dock har det identifierats andra brister i rutinerna för hur kataloger hanteras. 5.1 Brister i att mappstrukturer är inaktuella Merparten av undersökta mappstrukturer har namngivits utifrån ansvarig verksamhet. När enheter, verksamhetsområden eller förvaltningar omorganiseras och mappstrukturerna inte anpassas efter den nya organisationen skapas oordning. På längre sikt blir det svårt att avgöra vilken verksamhet som ansvarar för informationen och i praktiken kan det resultera i herrelösa mappar som ingen ansvarar för. 5.2 Brister i att inaktuell information inte rensas bort En mycket stor del av den information som nu förvaras i Region Skånes kataloger har tjänat ut sitt syfte och bör rensas bort. Det saknas såväl generella som verksamhetsspecifika rutiner och instruktioner för ett sådant arbete, vilket medför att mängden mappar och filer bara ökar med tiden. Ingen av de kontaktade verksamheterna gör till exempel rutinmässiga rensningar av inaktuella mappar och filer. 5.3 Brister i att det förvaras uppgifter om enskilda patienter De bristande rutinerna för rensning bör ses ur perspektivet att det i vissa mappar förvaras uppgifter om enskilda patienter. Det rör foton på patienter, patientregister och textdokument där patienter omnämns (till exempel avvikelserapporter och utkast till kallelser). Detta anses olämpligt och i de fall där informationen utgör journalhandling bör den istället förvaras i patientens journal. 5.4 Brister i styrning av behörigheter Det finns generella brister i rutinerna för att avbeställa behörigheter när personal slutar eller byter enhet. Mot bakgrund av att det förvaras uppgifter om enskilda patienter är detta synnerligen olämpligt eftersom det resulterar i att personal kan ta del av patientuppgifter utan att det finns en vårdrelation. 6 Åtgärder Ovanstående brister bottnar dels i hur enskilda verksamheter hanterar sina mappar men också i den övergripande styrningen av Region Skånes informationshantering. 6.1 Åtgärder att vidta för enskilda verksamheter Verksamheter som använder gemensamma digitala kataloger bör med hjälp av aktuella instruktioner för bevarande och gallring inventera sina mappar och filer och rensa bort inaktuell information. Filer som innehåller uppgifter om enskilda patienter eller andra uppgifter som kan anses känslig bör rensas eller flyttas oavsett aktualitet. Om en verksamhet förvarar allmänna handlingar i gemensamma kataloger ska detta redovisas tillsammans med övriga handlingar i verksamhetens informationsredovisning. För att ordna sin information bör verksamheten därefter tillämpa de anvisningar som ges i instruktionen Mappstruktur, filnamn och städtips, som återfinns i Arkivhandboken. Slutligen bör en inventering göras över vilka personer som har behörighet till verksamhetens mappar och om det visar sig att personal som inte längre arbetar inom verksamheten har behörigheter bör detta avbeställas. 6

6.2 Övergripande åtgärder att vidta inom Region Skåne Den bristande behörighetsstyrningen för gemensamma digitala kataloger gör att de är olämpliga för att förvara information som innehåller känsliga uppgifter. När patientuppgifter eller andra känsliga uppgifter ändå förvaras i gemensamma mappar handlar det i många fall om okunskap eller slarv, men det handlar också om att det i vissa fall saknas alternativ. Resultatet från genomförd tillsyn indikerar därför att det finns ett behov av en mer säker lagringsyta. Behovet av en säker förvaring av filer, där obehörig personal inte riskerar att ta del av känsliga uppgifter, behöver därför utredas närmare. Vidare visar resultatet från tillsynen att det finns behov av en tydligare styrning och kontroll över vilken typ av information som förvaras på ytor för fillagring. Vid införandet av nya lagringsytor (exempelvis nya SharePoint-lösningar eller molnbaserad lagring) behöver det fortsättningsvis etableras tydligare styrning och regelverk för vilken information som får förvaras, med hänsyn till såväl säkerhetsaspekter som strategier för bevarande. 7

Bilaga 1: Koncernkontoret Nedan redovisas sammanställningar om hur många mappar, filer och mängd data som sorteras under Koncernkontoret, uppgifterna samlades in 2015-07-15. Därefter redovisas resultat från en granskning av katalogernas innehåll. Slutligen redovisas sammandrag från intervjuer med representanter från fem utvalda verksamheter. Volymer Koncernkontorets sammanlagda mängd data uppgår till 1 456 gigabyte. Under Koncernkontoret återfinns 56 mappar som innehåller varierande antal undermappar och filer. När de 56 mapparna delas upp utifrån övergripande verksamhet fördelas den totala mängden data enligt följande: Projekt/Tillfälligt 4% Koncernstab kansli 4% Koncernstab kommunikation 10% Regionalt cancercentrum syd 1% Regiondirektör 2% Avdelningen för hälso- och sjukvårdsstyrning 5% Koncernstab HR 1% Koncernstab ekonomistyrning 14% Koncernledningen 0% Avdelningen för regional utveckling 59% Storlek GB Mappar Filer Avdelningen för hälso- och sjukvårdsstyrning 67,8 39 885 161 089 Avdelningen för regional utveckling 855,3 55 239 691 481 Koncernledningen 0,8 297 2 431 Koncernstab ekonomistyrning 210 25 308 149 116 Koncernstab HR 11,7 2 267 31 915 Koncernstab kansli 55,5 6 352 101 683 Koncernstab kommunikation 152,7 6 050 77 117 Projekt/Tillfälligt 58,7 8 345 55 362 Regionalt cancercentrum syd 15,3 1 842 13 435 Regiondirektör 28,2 5 509 39 642 Totalt 1456 151094 1323271

Bilaga 1: Koncernkontoret Granskning av filer och mappar Namn på övergripande mappstruktur hänvisar inte alltid till ansvarig verksamhet. I vissa fall sorteras mapparna under respektive direktör och i vissa fall är mapparna döpta utifrån vilken typ av information de innehåller. Vissa mappar refererar till verksamhetsnamn eller projekt som inte längre är aktuella. På en djupare nivå är mappar ofta döpta utifrån det sammanhang där informationen förekommer eller skapas, alternativt vilken typ av information som förvaras i mappen. Till exempel är det vanligt att mappar döpts till specifika projektnamn eller namn som APT-möten eller Årsberättelser. Det finns också en hel del mappar som döpts efter enskilda medarbetare. Den information som förvaras i mapparna är framförallt olika slags arbetsmaterial. Till exempel utkast och tillfälliga listor i Excel såsom semesterlistor och tillfälliga kontaktlistor. Det förvaras även en del instruktioner/anvisningar av olika slag och foton av tillfällig betydelse, till exempel från personalaktiviteter. Sannolikt är det stora mängder av detta innehåll som inte längre är aktuellt vilket ger anledning att anta att det saknas rutiner för löpande gallring/rensning. Handlingar i mapparna som skulle kunna behöva bevaras är till exempel instruktioner, verksamhetsplaner och projekthandlingar. Majoriteten av de färdigställda handlingar som förvaras i mapparna (ofta i form av PDF) är sannolikt kopior på originalhandlingar som förvaras någon annanstans, till exempel i akt hos diariet. Under granskningen av Koncernkontorets mappar har det inte påträffats känsliga personuppgifter i form av bild eller text. Intervjuer Representanter från fem verksamheter inom Koncernkontoret har intervjuats om hur katalogerna används. Intervjuerna har utgått från samma frågeformulär och samtliga verksamheter som valdes ut hanterar förhållandevis stora mängder information i gemensamma digitala kataloger. Enheten för strategisk kommunikation, 2015-08-20 Enheten använder G: som sin huvudsakliga förvaringsyta. Mestadels förvaras underlag och arbetsmaterial för de produkter som enheten tar fram internt för andra verksamheter och som förvaras på G: utifall materialet behöver återanvändas. Mappar och filer är organiserade utifrån de olika direktörer som de arbetat med, t ex mappen B. Kanslidirektör. Hanteringen av färdigt material och diarieföring ansvarar beställaren för, det ligger mer andra ord inte inom enhetens ansvarsområde. Utifrån genomgång av mappar och intervju görs bedömningen att inga känsliga uppgifter förvaras i enhetens mappar. Oklart hur rutiner för behörighetsstyrning ser ut.

Bilaga 1: Koncernkontoret Behovet att arkivera är litet eller inget enligt enheten själv. Enheten för digitala medier, 2015-09-01 Enheten upprättar små mängder information som behöver bevaras. Viktiga dokument av bevarandekaraktär ligger enligt enheten på andra förvaringsytor. Använder i första hand SharePoint för gemensam förvaring. Men vissa medarbetare använder även G. Utifrån gemensam genomgång av mappar och intervju görs bedömningen att inga känsliga uppgifter förvaras av enheten. Ansvar för behörighetsstyrning var för respondenten okänt. Enheten för arbetsvillkor och enheten för HR-utveckling, Koncernstab HR, 2015-09-15 Båda enheterna använder G som sin huvudsakliga förvaringsyta. Merparten av den information som enheterna upprättar finns på respektive mappar Personaldir-arbetsrätt och Personaldir-verksamhetsutv. Det mesta som förvaras är arbetsmaterial som skulle kunna gallras vid inaktualitet. Det framgår inte av strukturen vad som bör bevaras och vad som är arbetsmaterial eller kopior som kan gallras eller rensas. Kunskap om mappstrukturer och vad som förvaras finns inte dokumenterat. En medvetenhet om diarieföring finns. På G: finns framförallt kopior av diarieförda handlingar. Eventuellt finns register över anställda som kan innehålla vissa känsliga uppgifter. Det saknas rutiner för att avsluta anställdas behörighet. Regionalt Cancercentrum Syd, 2015-09-09 RCC har två olika huvudmappar. RCC-Syd som innehåller information från projektet kring regionala registercenter och RCC Syd som är den nuvarande verksamhetens mapp med mer aktuell information. Finns också en äldre mapp som heter OC-syd som ska läggas ner. Mapparna innehåller främst arbetsmaterial och filer som inte behöver bevaras. Verksamheten menar att det av vikt finns arkiverat på andra platser, eller att de tydligt märkt upp original/kopior i mapparna. Verksamhetsmappen innehåller bland annat personalhandlingar (inskannade anställningsavtal) och en del material som tas fram i samband med att någon efterfrågar uttag från register. Finns med stor sannolikhet också protokoll och liknande dokument som är av bevarandekaraktär. G: är verksamhetens huvudsakliga förvaringsyta och upplever att de skulle ha svårt att hantera sin information utan denna yta. Verksamhetschefen har även ett eget diarium i mappen för korrespondens med utomstående verksamheter och liknande, men menar att innehållet är av mindre vikt och att det inte bör skickas till central diariefunktion.

Bilaga 1: Koncernkontoret Behörighetsstyrning, t ex avslutande av behörighet, görs troligen men behöver kontrolleras. Enheten för samhällsanalys, 2015-09-22 Använder mapparna GISavd och GISdata. G: används främst för att förvara arbetsmaterial, statistik och äldre GIS-programvara. Kunskap om mappstrukturer och innehåll är inte dokumenterad. Enheten upprättar få eller inga egna handlingar utan levererar statistiska underlag och data till andra enheter som presenterar denna i rapporter. Data kommer oftast från andra myndigheter och används på licens. Det är oklart om några handlingar diarieförs. Finns en medvetenhet om behörighetsstyrning men oklart hur rutinerna ser ut. Personuppgifter lagras inte i mapparna, däremot förekommer uppgifter som är möjliga att koppla till enskilda individer och som kan anses som känsliga.

Bilaga 2: Skånevård Kryh Nedan redovisas sammanställningar om hur många mappar, filer och mängd data som till Skånevård Kryh, uppgifterna samlades in 2015-11-03. Därefter redovisas resultat från en granskning av katalogernas innehåll. Slutligen redovisas sammandrag från intervjuer med representanter från fyra utvalda verksamheter. Volymer Samlad mängd data som ingår i Skånevård Kryh:s gemensamma kataloger uppgår till 1 480 gigabyte. I detta ingår mappar som sorteras under Skåne Kryh, men även mappar som sorteras under de verksamheter/förvaltningar som 2013 uppgick i Skånevård Kryh. Sammanlagt rör det sig om 185 612 mappar och 1 747 253 filer. Volymer som sorteras under tidigare organisation Mätningen omfattar mappar under Centralsjukhuset Kristianstad, Habilitering & hjälpmedel, Hässleholms sjukhusorganisation, Lasarettet i Ystad och de vårdcentraler under Primärvården som idag ingår i Skånevård Kryh. Sammanlagd mängd data: 1 150 GB Sammanlagt antal mappar: 142 609 Sammanlagt antal filer: 1 179 682 800 700 691 GB 600 500 400 300 267 GB 200 154 GB 100 0 Centralsjukhuset Kristianstad 28 GB Habilitering & Hjälpmedel Hässleholms sjukhusorganisation Lasarettet i Ystad 10 GB Primärvården (nuvarande Kryh) Mappar: 79 889 Mappar: 5 126 Mappar: 15 475 Mappar: 36 989 Mappar: 5 155 Filer: 746 678 Filer: 41 446 Filer: 113 169 Filer: 282 016 Filer: 37 819

Bilaga 2: Skånevård Kryh Volymer under Skånevård Kryh Omfattar mappar som sorteras under Skånevård Kryh. Mapparna är i första hand sorterade på division, men det finns också mappar som är gemensamma för arbetsgrupper inom förvaltningen. Sammanlagd mängd data: 330 GB Sammanlagt antal mappar: 43 003 Sammanlagt antal filer: 567 571 Sammanlagd datamängd uppdelad på respektive division: Förvaltning och stab 4% Övriga gemensamma 15% Specialiserad närsjukvård 3% Primärvård 0% Kirurgi 0% Habilitering och hjälpmedel 78% Division Habilitering och hjälpmedel, 78 % Mängd data: 267 975 GB Antal mappar: 29 862 Antal filer: 473 589 Division Kirurgi, 0 % Mängd data: 642 GB Antal mappar: 359 Antal filer: 2 154 Division Primärvård, 0 % Mängd data: 1 259 GB Antalet mappar: 609 Antalet filer: 3 309 Division Specialiserad närsjukvård, 3 % Mängd data: 9 103 GB Antalet mappar: 3 154 Antalet filer: 19 543 Förvaltning och stab, 4 % Mängd data: 12 336 GB Antalet mappar: 4 288 Antalet filer: 25 678 Övriga gemensamma, 15 % Mängd data: 50 354 GB Antalet mappar: 4 821 Antalet filer: 43 298

Bilaga 2: Skånevård Kryh Granskning av filer och mappar Det är svårt att överblicka hur informationen är organiserad. Det flesta verksamheter använder mappar under tidigare organisation medan vissa (framförallt Habilitering och hjälpmedel) gått över till Skånevård Kryh. Användning och förvaring sker därför sällan utifrån korrekt organisation. Det är vanligt att undermappar döpts efter en viss yrkeskategori eller utifrån vilken typ av information som förvaras i mappen. Merparten av all information som förvaras bedöms inte vara allmänna handlingar utan olika typer av arbetsmaterial, utkast och kopior. Även vanligt med foton från personalaktiviteter och liknande. I mappar under tidigare förvaltningar har det påträffats foton på patienter. Bland annat foton på obducerade vuxna samt spädbarn. I andra enheters mappar förvaras foton på specifika sjukdomar. Gällande fotografierna från obduktioner visade det sig att ingen längre har behörighet till dessa mappar. I mappar under tidigare förvaltningar har det också påträffats andra uppgifter om enskilda patienter. Det handlar om olika slags patientlistor och enskilda dokument (till exempel avvikelser och utkast till kallelser) där enskilda patient omnämns med namn och/eller personnummer. En vårdenhet förvarade 592 formulär med uppgifter om enskilda patienter, deras hälsotillstånd, sociala omständigheter och planerade åtgärder. Formulären utgjordes av Excel-filer och har inte ändrats sedan 2004. Vid en granskning av vilka som hade behörighet till dessa formulär visade det sig att av totalt 46 personer så tillhörde 31 personerna den berörda enheten, medan 12 personer arbetade på andra enheter och 2 personer inte längre finns kvar i Skånekatalogen och har förmodligen slutat arbeta i Region Skåne. Formulären har sedan rensats från mapparna. Intervjuer Representanter från fyra verksamheter inom Skånevård Kryh har intervjuats. På Habilitering och hjälpmedel intervjuades två olika enheter. Intervjuerna har utgått från samma frågeformulär och samtliga verksamheter som valdes ut hanterar förhållandevis stora mängder information i gemensamma digitala kataloger. Habilitering och hjälpmedel (Stab och IT), 2015-11-24 De gemensamma katalogerna är huvudförvaringsyta för verksamheten. Vid övergången till Kryh rensades information i de äldre mapparna eller flyttades till en ny mappstruktur under Skånevård Kryh. Gamla mappar under Habilitering & Hjälpmedel har anställda i regel inte längre tillgång till utan de ligger bara kvar i karantän innan de kommer avvecklas. Det finns rutiner för att sätta upp behörigheter för nyanställda/nytillkomna medarbetare, och en motsvarande rutin för att avbeställa behörigheter. Beställningen görs i ekatalog.

Bilaga 2: Skånevård Kryh Utvecklingssekreterare inom respektive verksamhet har ansvar för verksamhetens behörigheter. Hudmottagning Kristianstad, 2015-11-25 Verksamheten har inte gått över till att förvara informationen under Skånevård Kryh, informationen förvaras istället i mappar under Centralsjukhuset Kristianstad. Förvarar bland annat dokument innehållande riktlinjer för kliniken som uppdateras kontinuerligt, patientinformation, mottagningsschema, läkemedelsbokningar och minnesanteckningar från personalmöten och samverkansråd. Vissa mappar innehåller uppgifter som skulle kunna kopplas till patienter. Katalogerna används för att personal lätt ska kunna komma åt informationen. Enligt respondent förvaras inga patientuppgifter eller annat som behöver bevaras i katalogerna. VO Kirurgi, 2015-11-25 Katalogerna används av verksamheten för filer som flera personer behöver tillgång till. Bland annat förvaras protokoll, minnesanteckningar, mallar, arbetsbeskrivningar, föreläsningar och olika hjälpmedel. Ingen större skillnad i användningen efter omorganisering. Den gamla mappen under Centralsjukhuset Kristianstad används fortfarande av verksamheten. Endast ledningsgruppen har tillgång till DivKirurgi under Skånevård Kryh. Saknas långsiktig, uttalad och övergripande princip för hantering. Bevarande, gallring och rensning ansvarar olika individer eller arbetsgrupper för i sina egna mappar. Behörighetsstyrning ligger på chefsnivå, där avgörs när ny behörighet ska delas ut. Finns risk att man missar att avsluta behörigheter. En del personuppgifter från konferenser kan finnas bland materialet. Finns medvetenhet om att det inte bör förvaras där. Dessa ska ses över. Barnrehab Skåne (Tillhör Habilitering och hjälpmedel), 2015-12-07 Enligt verksamheten förvaras endast internt arbetsmaterial i mapparna. Information är i hög grad viktig för enhetens arbete, även om det inte är journalhandlingar eller information som behöver bevaras. I samband med att Barnrehab gick över till Skånevård Kryh fick de uppdrag från ledningen att alla ska rensa mappar innan de flyttas. I övergången fick ansvariga för respektive mapp gå igenom innehållet och städa. Sådant som rensades ut var till exempel utkast till gammalt utbildningsmaterial. Gamla mappar sattes inte i karantän utan de slängdes direkt. Det har inte skett några incidenter där enheten blivit av med viktig information i och med att mapparna avvecklades. Behörighetsstyrning ingår i övergripande rutiner och görs av sekreteraren när personal slutar eller börjar.