Teknisk beskrivning PDL i HSA

Teknisk beskrivning PDL i HSA Beskrivning av vårdgivare, vårdenhet och medarbetaruppdrag i HSA för implementation i administratörsgränssnitt samt registrering via LDAP-verktyg Version 1.01

Innehållsförteckning 1 Inledning... 3 1.1 Krav på beslut inom organisationen... 3 2 Egenskaper i HSA-katalogen... 4 2.1 Vårdgivare... 4 2.2 Vårdenhet... 4 2.3 Vårdenhet koppla underliggande objekt... 4 2.4 Medarbetaruppdrag... 5 2.5 Mallar för medarbetaruppdrag... 7 3 Rekommendationer administratörsregler i HSA-katalogen... 8 3.1 Markering av vårdgivare och vårdenhet... 8 3.2 Skapande av mallar för medarbetaruppdrag... 8 3.3 Skapande av medarbetaruppdrag... 8 3.4 Tilldelande av medarbetaruppdrag till personer... 9 4 Referenser... 10 Revisionshistorik Version Författare Kommentar 0.1 Henrika Littorin Utkast, baserat på dokumentet HSA_BIF_PDL.doc från 2010-12-09 0.2 Henrika Littorin Ensat med dokumentet HSA Admin handbok utdrag PDL. 0.3 Henrika Littorin Justerat efter synpunkter från Ulrika Nilsson 1.0 Henrika Littorin Justerat efter granskningsrunda och godkänt för första publicering 1.01 Henrika Littorin Uppdaterad efter synpunkter från Johan Zenk Sid 2/10

1 Inledning Sedan den 1 juli 2008 gäller den nya Patientdatalagen (PDL, 2008:355). Utgångspunkten för den nya lagen är att hanteringen av personuppgifter inom hälso- och sjukvården ska underlättas samtidigt som patientsäkerheten och patientens egen möjlighet till medverkan ska stärkas. Inom Sveriges Kommuner och Landsting (SKL) har projektet PDLiP, Patientdatalagen i Praktiken, tagit fram två rapporter som förtydligar hur lagen ska hanteras. I PDL används begreppen "Vårdgivare" och "Vårdenhet". En vårdgivare definieras som en juridisk person som bedriver hälso- och sjukvårdsverksamhet. En vårdgivare består i sin tur av en eller fler vårdenheter. En vårdenhet är enligt PDLiP en organisatorisk enhet som tillhandahåller hälso- och sjukvård och som leds av en verksamhetschef eller motsvarande. Varje organisation som styrs av PDL behöver definiera vilka vårdgivare och vårdenheter som verkar inom eller på uppdrag av organisationen. I PDL ges vårdgivaren ett uttalat ansvar för behörighetsstyrning och loggning. Verksamhetschefen är den som tilldelar rättigheter för anställda och uppdragstagare. Rättighetstilldelningen avser åtkomst till information både inom den egna enheten/egna vårdprocessen och hos andra enheter inom den egna vårdgivaren samt vid direktåtkomst till information hos annan vårdgivare som deltar i system för sammanhållen journalföring. Observera att det alltså inte är den som äger informationen som tilldelar rättigheter utan den som ansvarar för personer som söker information. HSA används som informationskälla och lagringsplats för behörighetsgrundande egenskaper enligt PDL. I HSA anges vilka vårdgivare och vårdenheter som ryms inom organisationen. Så kallade Medarbetaruppdrag lagrar information om syfte och rättigheter. För mer information om PDL, se: Patientdatalagen (2008:355) http://www.regeringen.se/sb/d/6150/a/71234 PDLiP: Patientdatalagen i praktiken, SKL (www.cehis.se) 1.1 Krav på beslut inom organisationen För att HSA ska kunna användas som informationskälla och lagringsplats för behörigheter enligt PDL krävs att organisationen på övergripande nivå identifierar och beslutar: vilka vårdgivare som bedriver verksamhet inom organisationen vilka vårdenheter som finns och vilken vårdgivare varje vårdenhet tillhör, samt vem som ansvarar för verksamheten på respektive vårdenhet (verksamhetschef eller motsvarande) vem som fastställer förändringar när det gäller vårdgivare och vårdenheter övergripande riktlinjer för hantering av medarbetaruppdrag inom organisationen Innan dessa beslut är fattade bör ingen registrering i HSA ske. Sid 3/10

2 Egenskaper i HSA-katalogen Observera att nedanstående beskrivningar är på övergripande teknisk nivå. För mer information om t.ex. OID, maxlängd etc., se [1]. För exempel på implementation i gränssnitt, se [2]. 2.1 Vårdgivare Regler En Vårdgivare är alltid ett ou (enhet) eller ett o (organisation) Såväl ou som o kan vara både Vårdenhet och Vårdgivare Det ou eller o som utpekas som Vårdgivare måste ha orgno ifyllt Egenskaper i katalogen För att markera en Vårdgivare Tilläggsobjektklassen hsahealthcareprovider läggs till objektet. 2.2 Vårdenhet Regler En Vårdenhet är alltid ett ou eller ett o Varje Vårdenhet måste tillhöra en Vårdgivare Varje Vårdenhet får bara tillhöra en Vårdgivare En Vårdenhet kan ha en och bara en verksamhetschef (person). Men en person kan vara verksamhetschef för flera vårdenheter Egenskaper i katalogen För att markera en Vårdenhet Tilläggsobjektklassen hsahealthcareunit till läggs objektet. För att markera verksamhetschef På vårdenhetsobjektet: I attributet hsahealthcareunitmanager läggs personens HSA-id För att markera vilken Vårdgivare Vårdenheten hör till På vårdenhetsobjektet: I attributet hsaresponsiblehealthcareprovider läggs Vårdgivarobjektets HSA-id 2.3 Vårdenhet koppla underliggande objekt Det finns inget krav att beskriva vilka underliggande objekt som hör till en viss Vårdenhet. Detta kan dock vara nödvändigt i det fall ett journalsystem inte hanterar objekt på vårdenhetsnivå utan har en större detaljeringsgrad på sina objekt (och därmed inte kan markera Sid 4/10

journalinformationen med Vårdenhetens HSA-id). Om så är fallet kan man lagra kopplingen mellan systemets objekt och Vårdenheten i HSA. De enhets- eller funktionsobjekt i HSA som motsvarar systemets objekt (motsvaras av de mellanblå rutorna nedan) kopplas då till vårdenheten genom attributet hsahealthcareunitmember. Regler Om man kopplar objekt till en Vårdenhet får objektet bara tillhöra en Vårdenhet En objekt som hör till en Vårdenhet måste vara ett ou eller en organizationalrole Ett objekt som är en Vårdenhet kan inte kopplas till en annan Vårdenhet Egenskaper i katalogen För varje enhet som ska kopplas till en Vårdenhet På Vårdenheten: I attributet hsahealthcareunitmember läggs objektets HSA-id 2.4 Medarbetaruppdrag Medarbetaruppdrag har en uppsättning fördefinierade egenskaper (syften och rättigheter) som när det kopplas till en medarbetare anger i vilken utsträckning och inom vilken giltighetstid denne har behörighet att hantera information inom en enhet, vårdenhet, vårdgivare och/eller i samband med sammanhållen journalföring. Sid 5/10

Kortfattat kan man säga att en auktoriseringstjänst (t.ex. i BIF) kontrollerar egenskaperna i det medarbetaruppdrag som användaren valt mot en regeluppsättning för att avgöra om användaren har rätt att utföra det han/hon vill göra i det aktuella systemet. Medarbetaruppdrag Är en egen objektklass hsacommission o Medarbetaruppdrag behöver normalt sett endast två objektklasser hsacommission och top Ett Medarbetaruppdrag ligger alltid direkt under den Vårdenhet det tillhör Attribut för medarbetaruppdrag o cn objektnamn (obligatoriskt) o hsaidentity HSA-id (obligatoriskt) o description beskrivning (frivilligt) o hsacommissionpurpose medarbetaruppdragets syfte (obligatoriskt) o hsacommissonright medarbetaruppdragets rättigheter (frivilligt) cn Namn på Medarbetaruppdrag ska vara tillräckligt tydliga för att användaren ska kunna välja rätt Medarbetaruppdrag Bör innehålla både en beskrivande del och en organisationsdel så att medarbetaren vet vilken vårdenhet uppdraget gäller hsaidentity Måste vara unikt per objekt Samma hantering som för övriga objekt description Utökad beskrivning av vad medarbetaruppdraget innebär hsacommissionpurpose o hsacommissionmember medarbetaruppdragets medlemmar (frivilligt) hsacommissionmember Personer kopplade till ett Medarbetaruppdrag kan organisatoriskt vara placerade var som helst, även utanför den egna organisationen Innehåll: <Personens HSAid>;(<startdatum>);(<slutdatum>) Startdatum och slutdatum är inte obligatoriska, men semikolon måste alltid finnas Datum skrivs på formatet ÅÅÅÅMMDDTTMMSSZ, t.ex. 20111231235959Z hsacommissionright Alla Medarbetaruppdrag ska ha ett syfte. Attributet är kopplat till PDL:s krav på att ange syfte vid åtkomst till vårddokumentation. Värden enligt kodverk [3]. Måste vara exakt angivna. Flervärt, d.v.s. varje medarbetaruppdragsobjekt kan ha flera värden i hsacommissionright Innehåll i varje värde i hsacommissionright: <aktivitet>;<informationstyp>;<organisationsomfång> Varje värde i hsacommissionright ska innehålla ett värde på vardera ingående del Värden på aktivitet, informationstyp och organisationsomfång enligt kodverk [4]. Måste vara exakt angivna. Sid 6/10

2.5 Mallar för medarbetaruppdrag För att underlätta för organisationens administratörer och för att få en enhetligare hantering av medarbetaruppdrag utifrån vårdgivarens ansvar att tillse att det finns rutiner för individuell behörighetstilldelning kan organisationsspecifika medarbetaruppdragsmallar skapas. I HSA Admin på kataloghotellet finns en funktionalitet med mallar för medarbetaruppdrag, se beskrivning i [2]. Motsvarande tillvägagångssätt skulle kunna tillämpas även i ett internt gränssnitt. Sid 7/10

3 Rekommendationer administratörsregler i HSAkatalogen Registreringen i HSA av de PDL-relaterade uppgifterna får stor betydelse för åtkomst till patientrelaterad information och hur den egna organisationen följer patientdatalagen. Det är viktigt att de personer som hanterar dessa uppgifter vet vad de gör så att inget blir fel. Så länge administration sker i ett LDAP-verktyg rekommenderas att endast personer med god HSA- och LDAP-kännedom genomför den praktiska administrationen. Men även i administratörsgränssnittet bör rättigheterna till att hantera PDL-relaterade uppgifter begränsas. Rekommendationen är att dela upp administrationen i fyra delar: 1. Markering av vårdgivare och vårdenhet (inklusive angivande av vårdgivartillhörighet, verksamhetschef och enheter som tillhör vårdenheten) 2. Skapande av mallar för medarbetaruppdrag 3. Skapande av medarbetaruppdrag (inklusive angivande av namn, syfte och rättigheter) 4. Tilldelande av uppdrag till personer 3.1 Markering av vårdgivare och vårdenhet Vilka vårdgivare och vilka vårdenheter som finns för en organisation ska definieras för hela organisationen. Därför är det också rimligt att administrationen i HSA av dessa uppgifter läggs på en central nivå. I HSA Admin på kataloghotellet är det endast Huvudadministratör och Central administratör som får hantera vårdgivar- och vårdenhetsegenskaper. 3.2 Skapande av mallar för medarbetaruppdrag Mallar för medarbetaruppdrag är till för att på organisationsnivå kunna styra hur medarbetaruppdrag inom organisationen ser ut. Medarbetaruppdragsmallar skapas i separat gren i tjänsteträdet, vilket inte alltid kan administreras via det vanliga administratörsgränssnittet. Mallarnas utformning får också mycket stor betydelse för behörighetshanteringen i organisationen. Det rekommenderas därför att det endast är en eller ett par administratörer med mycket goda katalogkunskaper och god förståelse för hur PDL fungerar som ges rättigheter att lägga till mallar för medarbetaruppdrag. I HSA Admin på kataloghotellet är det endast särskilt utpekade administratörer (oftast Huvudadministratörer) som har rätt att skapa mallar för medarbetaruppdrag. 3.3 Skapande av medarbetaruppdrag Enligt Socialstyrelsens föreskrifter [2] ska varje verksamhetschef för respektive vårdenhet, inom ramen för vårdgivarens ledningssystem, ansvara för att utdelade behörigheter för åtkomst till patientuppgifter är ändamålsenliga och förenliga med hälso- och sjukvårdspersonalens och andra befattningshavares aktuella arbetsuppgifter. Detta kan tolkas som att varje Sid 8/10

verksamhetschef ska utse den som ska kunna skapa medarbetaruppdrag. Att skapa medarbetaruppdrag kan dock kräva vissa kunskaper om behörighetshantering och PDL, något som man kan behöva ta hänsyn till när man utser administratör. I HSA Admin på kataloghotellet finns en särskild administratörstyp som kallas Skapa uppdrag med rättigheter att skapa medarbetaruppdrag. Medarbetaruppdrag kan även skapas av Huvudadministratör och Central administratör. 3.4 Tilldelande av medarbetaruppdrag till personer Enligt Socialstyrelsens föreskrifter [2] ska varje verksamhetschef för respektive vårdenhet, inom ramen för vårdgivarens ledningssystem, ansvara för att utdelade behörigheter för åtkomst till patientuppgifter är ändamålsenliga och förenliga med hälso- och sjukvårdspersonalens och andra befattningshavares aktuella arbetsuppgifter. Detta kan tolkas som att varje verksamhetschef ska utse den som ska kunna tilldela uppdrag till personer. Eftersom tilldelandet av medarbetaruppdraguppdrag till personer alltid bör ske från skriftligt underlag kräver detta administratörsuppdrag inte nödvändigtvis djupgående kunskaper om behörighetshantering och PDL. Däremot är det troligen bra med en viss kunskap om organisationen och de personer som medarbetaruppdragen ska tilldelas till. I HSA Admin på kataloghotellet finns en särskild administratörstyp som kallas Tilldela uppdrag med rättigheter att tilldela medarbetaruppdrag till personer. Medarbetaruppdrag kan även tilldelas personer av Huvudadministratör, Central administratör och av administratörsrollen Skapa uppdrag. Sid 9/10

4 Referenser [1] [2] [3] [4] HSA-schema_organisationsträdet (xls) http://inera.se/virtdocroot/tjänster/hsa/visas%20på%20bolagswebb/5%20hsa%20i nnehåll,%20attributsbilagor/hsa-schema_organisationsträdet_version_3.6_2011-01- 13.xls HSA Admin Handbok utdrag PDL http://inera.se/virtdocroot/tjänster/hsa/visas%20på%20bolagswebb/4%20stödjande %20dokument/HSA_Admin_handbok_utdrag_om_PDL.pdf HSA Innehåll Medarbetaruppdrag syfte http://inera.se/virtdocroot/tjänster/hsa/visas%20på%20bolagswebb/6%20hsa%20i nnehåll,%20värdemängdsbilagor(kodverk)/hsa_innehåll_medarbetaruppdrag_syfte_ve rsion_3.2%202010-10-21.pdf HSA Innehåll Medarbetaruppdrag rättigheter http://inera.se/virtdocroot/tjänster/hsa/visas%20på%20bolagswebb/6%20hsa%20i nnehåll,%20värdemängdsbilagor(kodverk)/hsa_innehåll_medarbetaruppdrag_rättighet er_version_3.1_2010-10-21.pdf Sid 10/10