AVTAL OM SAMMANHÅLLEN JOURNALFÖRING AVTAL MELLAN LANDSTINGET I VÄRMLAND (ORG. NR. 232100-0156), NEDAN KALLAT LANDSTINGET, OCH XX AB (ORG. NR. XXXXXX-XXXX), NEDAN KALLAD VÅRDGIVAREN, OM TILLGÅNG TILL VÅRDINFORMATION SAMT DOKUMENTATION I PATIENTJOURNAL I GEMENSAMT SYSTEM FÖR SAMMANHÅLLEN JOURNALFÖRING. 1.0 SYFTE Sammanhållen journalföring, nedan förkortat SHJ, innebär en möjlighet för vårdgivare att, under förutsättning att bestämmelserna i patientdatalagen (2008:355), PDL, följs, ha direktåtkomst till personuppgifter som tillhör andra vårdgivare. Detta avtal reglerar parternas ansvar och skyldigheter i anslutning till SHJ samt övriga frågor i samband därmed, såsom exempelvis behörighetstilldelning och åtkomstkontroll, jämte tillgång till andra IT-tjänster för vårdgivaren. Parterna får genom detta avtal tillgång till SHJ som omfattar vårddokumentationssystem dels i landstingets verksamhet och dels i verksamhet som bedrivs av de privata vårdgivare som har valt att ingå avtal om SHJ med landstinget. Sammanhållen journalföring i enlighet med detta avtal medför att vårdgivaren blir indirekt ansluten till Nationell Patientöversikt (NPÖ), vilket innebär att delar av vårdgivarens patientdata blir åtkomlig även för andra landsting och de privata vårdgivare som dessa har sammanhållen journalföring med samt kommunernas hälso- och sjukvård. Se punkten 8 nedan. Landstinget förbinder sig att löpande tillhandahålla en lättillgänglig information om vilka vårdgivare som ingår i SHJ. Vårdgivaren medger att uppgifter om företaget samt vilka ITstöd som företaget har tillgång till, samlas i ett register hos landstinget. De åtaganden som parterna förbinder sig till genom detta avtal utgör en grundläggande förutsättning för skapandet av SHJ, som kan växa och omfatta fler vårdgivare genom att landstinget medger ytterligare anslutning. 2.0 LEGALA FÖRUTSÄTTNINGAR Definitionen av begreppet vårdgivare återfinns i 1 kap 3 PDL. Därav följer att landstinget respektive vårdgivaren är två olika vårdgivare. Genom tillkomsten av PDL har vårdgivare getts möjlighet till direktåtkomst till andra vårdgivares vårddokumentation på frivillig väg över myndighets- och vårdgivargränser för ändamålet individinriktad hälso- och sjukvård, förutsatt att PDL följs. Andra legala krav vid informationsöverföring inom vården återfinns bland annat i Socialstyrelsens föreskrifter, tryckfrihetsförordningen, offentlighets- och sekretesslagen samt arkivlagen. Parterna är ense om att tekniska förutsättningar för SHJ baserat på landstingets nuvarande journalsystem och övriga vårdinformationssystem har brister som gör att det ännu inte är möjligt för parterna att utan ytterligare åtgärder uppfylla samtliga krav i PDL. Särskilt höga krav ställs på parternas åtaganden gällande bland annat behörighetstilldelning, loggkontroll, utbildning och löpande information till såväl personal som patienter. De tekniska bristerna i vårddokumentationssystemen, som succesivt kommer att avhjälpas av landstinget, innebär i dagsläget bland annat följande: Landstinget är idag anslutet till HSA-katalog och utfärdar SITHS-kort (e-tjänstekort) till anställda och uppdragstagare dock har säker autenticiering genom inloggning med e- Tjänstekort ännu inte implementerats. Behandling av personuppgifter föregås således inte av s.k. stark autentisering, vilket är ett krav.
2(5) 3.0 ÅTAGANDE Genom detta avtal förbinder sig parterna att, utöver de krav som följer av tillämpliga lagar och andra författningar, följa villkoren i detta avtal avseende SHJ. Vårdgivaren förbinder sig också att aktivt stödja och implementera de förändringar av SHJ som landstinget kommer att genomföra i syfte att succesivt förbättra efterlevnaden av PDL, vilket kan komma att förändra såväl omfattningen av som formen för direktåtkomst. 4.0 SAMBAND MED ANDRA AVTAL Detta avtal villkoras av att följande avtal finns tecknade: Kontrakt Vårdval Fysioterapi mellan parterna Ett personuppgiftsbiträdesavtal mellan parterna, om landstingets roll som personuppgiftsbiträde åt vårdgivaren, i enlighet med personuppgiftslagen, till den del behandlingen av personuppgifter sker för ändamålet att administrera och underhålla ITsystem och liknande. Se undertecknat avtal i bilaga 1. Ett personuppgiftsbiträdesavtal mellan vårdgivaren och Inera AB, om Inera AB:s roll som personuppgiftsbiträde åt vårdgivaren, i enlighet med personuppgiftslagen, inom ramen för NPÖ. Se mall för detta avtal i bilaga 2. Av Krav- och kvalitetsboken för Vårdval Fysioterapi följer att fler avtal kan behöva tecknas i samband med utveckling av e-tjänster och i syfte att förbättra säkerheten vid nationella tekniska lösningar. Landstinget ska se till att parterna får skälig tid att förbereda ingåendet av sådana avtal. 5.0 VÅRDINFORMATIONSSYSTEM SOM INGÅR I SHJ a) Journalsystemet Cosmic, inklusive de system som nås via Cosmic Alla vårdenheter ska, för att arbeta med vårdinformation, anslutas till landstingets nätverk i enlighet med krav och riktlinjer som anges i Krav- och kvalitetsboken för Vårdval Fysioterapi. 6.0 DIREKTÅTKOMST LEGALA BEGRÄNSNINGAR Vid SHJ är det endast tillåtet med direkt åtkomst i anledning av den individrelaterade vården av patienten, se 2 kap 4 p. 1-2 patientdatalagen och SOSFS 2008:14 (M). Detta är en begränsning jämfört med vad som gäller inom en vårdgivares inre sekretessområde. Vårdgivaren å ena sidan och landstinget å andra sidan, får under följande förutsättningar åtkomst till varandras vårddokumentationssystem; Informationen får endast hämtas för patient med vilken landstinget respektive vårdgivaren har en aktuell vårdrelation samt ett behov av informationen i den direkta individuella vården av en patient, i enlighet med reglerna i 2 kap 4 punkterna 1-2 PDL, samt SOSFS 2008:14 (M). Direktåtkomst till annan vårdgivares information förutsätter patientens samtycke. Annan vårdgivares information som nås genom direktåtkomst i SHJ får inte sparas, skrivas ut, lämnas till annan eller på annat sätt lagras. 7.0 SAMTYCKE Direktåtkomst till annan vårdgivares vårddokumentationssystem kräver patientens uttryckliga samtycke till skillnad från vad som gäller vid elektroniskt åtkomst till journalsystem inom en vårdgivares egna, inre sekretessområde. Samtycket måste dokumenteras elektroniskt eller, om så inte kan ske, genom manuell hantering. Giltighet för en patients samtycke till att en vårdgivare tar del av vårdinformation hos en annan vårdgivare genom direktåtkomst förutsätter att: patienten har informerats om direktåtkomsten och har förstått innebörden och konsekvenserna av att vårdgivaren tar del av vårdinformation hos annan vårdgivare innan samtycke till detta inhämtas (krav på informerat samtycke), samtycket rör ett aktuellt hälsoproblem, och
3(5) giltighetstiden alltid är kopplad till det aktuella vårdåtagandet eller annan tidpunkt som patienten medgivit (krav på att samtycket är specificerat). Vardera parten åtar sig att tillse att giltiga samtycken inhämtas från patienterna innan vårdgivare tar del av vårdinformation hos annan vårdgivare. 8.0 INFORMATION TILL PATIENTER OM SHJ OCH NPÖ Anslutningen till landstingets system för sammanhållen journalföring i enlighet med detta avtal, medför att vårdgivaren blir indirekt ansluten till NPÖ (se punkten 1 ovan). En förutsättning för att göra vårdinformation tillgänglig inom ramen för SHJ och NPÖ är att vårdgivaren informerat patienterna om vad detta innebär och om att patienterna kan motsätta sig att uppgifter görs tillgängliga för andra vårdgivare genom sammanhållen journalföring. Möjlighet att avvakta med publicering till NPÖ för enskild vårdgivare finns inom ramen för konfigureringen av landstingets system. Syftet är att medge vårdgivaren möjlighet att informera berörda patienter. För att vårdgivaren ska få möjlighet att informera sina patienter om NPÖ-anslutningen enligt reglerna i PDL, kommer anslutning av vårdgivaren till NPÖ inte att ske i samband med undertecknandet av detta avtal. Anslutningen senareläggs tills informationsåtgärder hunnit vidtas enligt ovan, men ska ske senast tre (3) månader efter driftstart av Cosmic på vårdenheten. Vardera parten åtar sig att tillse att deras respektive patienter informeras om att de deltar i SHJ och vad detta innebär och även om den direktåtkomst som möjliggörs inom ramen för NPÖ och som beskrivs i punkten 8 ovan samt om sin rätt att motsätta sig att uppgifter görs tillgängliga för andra vårdgivare genom SHJ. Vardera parten åtar sig att tillse att uppgifter inte är tillgängliga för andra vårdgivare i de fall patienter har motsatt sig det. 9.0 KRAV PÅ AUTENTISERING Under en övergångsperiod och såsom en provisorisk lösning ska inloggning och autentisering ske genom att användarna har konto i domänen Landstinget i Värmland och inloggas med användarnamn och lösenord. Så snart tekniska lösningar finns implementerade ska inloggning ske med stöd av SITHS-kort i enlighet med avtal med Inera AB. Alla vårdenheter ska anslutas i enlighet med krav och riktlinjer som anges i Krav- och kvalitetsboken för Vårdval Fysioterapi. 10.0 PERSONUPPGIFTSANSVAR VID DIREKTÅTKOMST Varje vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Varje vårdgivare har även ansvar för den egna patientjournalen som förs inom vårdgivarens verksamhet. Envar av vårdgivarna, som har tecknat avtal om SHJ med landstinget, är personuppgiftsansvarig vid direktåtkomst till annan vårdgivares journalsystem (2 kap 6 PDL). Därutöver ska personuppgiftsbiträdesavtal tecknas enligt punkten 4 ovan. 11.0 LOGGKONTROLL Parterna ska genomföra systematiska loggkontroller och logglistor ska på begäran utlämnas dels till annan berörd vårdgivare som deltar i SHJ och dels till patient, innehållande information om vem som haft åtkomst till vårddokumentation samt tidpunkt för åtkomst. Parterna förbinder sig att delta i och bidra till utredningar som syftar till att utreda om vårdgivarens egen personal berett sig åtkomst till journalsystemet utan legalt stöd samt att, i förekommande fall, informera berörd patient vid konstaterad olovlig åtkomst samt att vidta arbetsrättsliga åtgärder. Parterna förbinder sig också att årligen rapportera till landstingets vårdvalskansli aktuell omfattning av loggkontroller samt att löpande avge incidentrapporter gällande misstänkt otillåten dataåtkomst. 12.0 TILLDELNING AV BEHÖRIGHETER
4(5) Verksamhetschefen hos vårdgivaren ska besluta om de anställdas behörighet inom ramen för detta avtal. Denne ansvarar även för uppföljning av utdelade behörigheters tillämpning och aktualitet, vilket bland annat innebär att behörighetsprofilen ska vara aktuell och tas bort när anställning/uppdrag avslutas. Rutiner ska finnas för att tilldela, förändra, ta bort samt följa upp behörigheter. I samband med behörighetstilldelning ska risk- och behovsanalys genomföras för berörd medarbetare. 13.0 INFORMATIONSSÄKERHET PDL och SOSFS 2008:14 2 kap. 1-2 föreskriver skyldigheter för vårdgivare att ge direktiv och säkerställa att det i verksamhetens ledningssystem för kvalitet och patientsäkerhet finns en dokumenterad informationssäkerhetspolicy. Vårdgivaren förbinder sig att följa reglerna i landstingets styrande dokument för informationssäkerhet. Vårdgivaren förbinder sig att tillse att all personal som kommer i kontakt med patientinformation deltar i de utbildningstillfällen som landstinget anordnar om informationssäkerhet/journalhantering. 14.0 ÖVRIGA RUTINER Vårdgivaren och landstinget ska i förekommande fall ta fram gemensamma rutiner i enlighet med SOSFS 2008:14 avseende bland annat: informationsstruktur, terminologi, klassifikationer, kodverk, sökord och mallar, bevarande och gallring, avvikelsehantering, signering och låsning, rutiner vid nödöppning, backuprutiner och återläsningstester, utlämnande av patientuppgifter, förvaring av uppgifter, rättelse eller förstöring av patientuppgifter, åtkomstkontroll, samverkan vid misstanke om otillbörlig åtkomst, loggkontroll och lagring av loggsuppgifter, spärrhantering. 15.0 INFORMATION TILL PERSONAL Envar av parterna ansvarar för att all personal som genom detta avtal ges åtkomst till den andre partens vårdinformation informeras om de författningar och fastställda rutiner som reglerar sådan åtkomst samt att informationen bekräftas genom en skriftlig handling som undertecknas av den anställde. 16.0 KOSTNADER FÖR SHJ Parterna är överens om att införandet av landstingets journalsystem Cosmic och anslutningen till SHJ ska vara kostnadsneutralt mellan de vårdgivare som omfattas av Vårdval Fysioterapi. De ekonomiska villkoren framgår av Krav- och kvalitetsboken för Vårdval Fysioterapi. 17.0 SKADESTÅNDSANSVAR För det fall att tredje part framställer anspråk gentemot någon av avtalsparterna (part 1), på grund av att den andra parten (part 2) inte uppfyllt sina skyldigheter enligt detta avtal, åtar sig part 2, som brustit i åtagande, att hålla part 1 skadeslös för skadestånd eller annan ersättning som part 1 genom förlikning eller dom åläggs att betala med anledning av t.ex. brott mot tystnadsplikten eller dataintrång. 18.0 AVTALSTID OCH UPPSÄGNING
5(5) Detta avtal gäller under samma tidsperiod som kontrakt Vårdval Fysioterapi. Vardera parten är däremot skyldig att medverka vid logguppföljning även efter att avtalet upphört att gälla, se punkt 11.0. 19.0 FULLMAKT Vårdgivaren uppdrar åt landstinget att företräda vårdgivaren vid tecknande av avtal med andra parter om sammanhållen journalföring med ovanstående innehåll. 20.0 BILAGOR Följande bilagor ingår i detta avtal: Bilaga 1 Personuppgiftsbiträdesavtal mellan parterna Bilaga 2 Mall för personuppgiftsbiträdesavtal mellan vårdgivaren och Inera AB 21.0 UNDERSKRIFTER Detta avtal har upprättats i två (2) likalydande exemplar varav parterna tagit var sitt. För Landstinget i Värmland För X AB Ort och datum Ort och datum Namn Namn Namnförtydligande Namnförtydligande