H A N D L Ä G G A R E D A T U M D I A R I E N R AVTAL OM SAMMANHÅLLEN JOURNALFÖRING 1. AVTALSPARTER Region Sörmland, org nr 232100-0032, Repslagaregatan 19, 611 88 NYKÖPING Privat vårdgivare, 2. BAKGRUND Genom tillkomsten av patientdatalagen (2008:355), har olika vårdgivare givits möjlighet att med hjälp av IT få till stånd en bättre samverkan mellan hälso- och sjukvårdens aktörer och en starkare patientorientering i vården. Syftet med den nya lagstiftningen är att skapa en reglering som möjliggör både en ökad patientsäkerhet och ett starkt integritetsskydd. Ytterligare anvisningar lämnas även i Socialstyrelsens författningssamling SOSFS 2008:14 med tillhörande Handbok för handläggning. Vårdgivare som har för avsikt att ingå i ett system av sammanhållen journalföring har ett behov av att säkerställa en grundnivå innebärande att behandlingen av personuppgifter uppfyller de krav som ställs i Patientdatalagen (PDL) och Dataskyddsförordningen, Sekretesslagen (SekrL) och Tryckfrihetsförordningen (TF). 3. SYFTE Detta avtal reglerar parternas ansvar och skyldigheter vad gäller tillgång till information, behörighetshantering och uppföljning i samband med åtkomst till vårddokumentation hos Regionen. Avtalet äger bara tillämpning för de privata vårdgivare som valt att använda regionens journalsystem, SYSteam Cross (SC). Hälsoval Sörmland Sveavägen, Hus E35 631 88 Eskilstuna Fax 016-10 52 66 Tel: 016-10 41 51 E-mail: halsoval.sormland@dll.se SID 1(7)
4. DEFINITIONER 4.1 Vårdgivare Statlig myndighet, Region och kommun i fråga om sådan hälso- och sjukvårdsverksamhet, som myndigheten regionen eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet (Privat vårdgivare). 1 4.2 Vårdenhet Begreppet vårdenhet är inte närmare definierat i patientdatalagen eller annan författning. Inom Region Sörmland utgör en verksamhet en vårdenhet t.ex. vårdcentral eller specialistklinik som ortopedklinik. 4.3 Stark autentisering Begreppet stark autentisering innebär att identiteten kontrolleras på två olika sätt t.ex. e-idkort kombinerat med PIN-kod. 2 4.4 Samtycke Begreppet samtycke innebär frivillig, särskild och otvetydig viljeyttring genom vilken en person som tillfrågats om något, efter att fått information, godtar det frågan gäller. 3 4.5 Direktåtkomst Direktåtkomst innebär elektronisk uppgiftslämning där den som är ansvarig för information inte har kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av s.k. automatiserad tillgång och där mottagaren inte kan påverka innehållet i det informationssystem eller register som informationen lämnas ut från. 4 5. FÖRUTSÄTTNINGAR En i detta avtal grundläggande förutsättning är att de vårdgivare som deltar i sammanhållen journalföring använder det gemensamma journalsystemet SC i Region Sörmlands installation. SC ger idag ett i vissa avseende begränsat eller otillräckligt stöd när det gäller följsamhet till PDL och dess föreskrifter. Region Sörmland kommer, tillsammans med övriga regionkunder 1 Patientdatalagen och Socialstyrelsens termbank 2 SOSFS 2008:14 3 Socialstyrelsens termbank 4 Prop. 2007/08:126, s. 105 ff SID 2(7)
till SC, att driva vidareutveckling av SC för att förbättra stöd för en god tillämpning av PDL, både för enskilda vårdgivare och för sammanhållen journalföring. Vårdgivare som använder SC i Region Sörmlands installation kommer fortlöpande att informeras om utvecklingsarbetet och beredas tillfälle att lämna synpunkter på planerna. När SC har förändrats i frågor som kan beröra de rutiner som anges i avsnitt 8 nedan så ansvarar Region Sörmland för att initiera en översyn av dessa rutiner. Varje vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Vårdgivarna har även ansvar för respektive patientjournal som förs inom vårdgivaren. Vårddokumentationen avseende enskild patient, ska vara kvalitetssäkrad och lättillgänglig när den behövs. Det ska finnas en gemensam informationsstruktur och informationen ska vara tillgänglig i hela vårdkedjan. Dessa krav gäller all vård som utförs på regionens uppdrag. Detta framför allt av patientsäkerhetsskäl men även för att underlätta och stödja vårdprocesserna. Vårdgivaren ska i samverkan med regionen och andra vårdgivare delta i arbetet som syftar till en god gemensam informationsförsörjning. Vårdgivaren ansvarar för att så långt möjligt är inom SC följa patientdatalagen (2008:355) och Socialstyrelsens föreskrift 2008:14, som reglerar kraven på informationssäkerhet och hur/när spärrar och samtycken skall hanteras i patientjournalföringen. Den praktiska hanteringen av spärrar, samtycke, behörighet, loggning etc beskrivs i respektive rutin, se punkt 8. Vårdgivaren får genom detta avtal tillgång till patientjournaler lagrade i SC och tillhörande IT-system, under förutsättning att patienten samtycker. De tillhörande IT-systemen som avses finns i en förteckning (vid avtalets tecknande aktuell förteckning redovisas i bilaga 1). Detta omfattar såväl journaler från regiondriven verksamhet som från övriga privata vårdgivare som valt att ingå i sammanhållen journalföring. 6. INFORMATION OM SAMMANHÅLLEN JOURNALFÖRING Parterna är skyldiga att så långt möjligt och i god tid informera motparten om tillfälliga eller permanenta förändringar i den egna verksamheten t.ex. stängningar eller strukturella förändringar. Vårdgivaren måste informera patienter och personal om hur behandlingen av personuppgifter sker, vilket innebär bl.a. hur de journalförda uppgifterna hanteras, inhämtande av samtycke samt information om säkerhet och sekretess, se broschyren Patientdatalagen för säkrare vård. SID 3(7)
En begäran från patient om att inte ingå i sammanhållen journalföring, ska hanteras enligt överenskommen rutin Spärrad journal mellan vårdgivarna, sammanhållen journalföring, där skriftligt undertecknande av patienten ingår, se punkt 8. 7. BITRÄDESAVTAL - PERSONUPPGIFTSBEHANDLING Parterna förbinder sig att till detta avtal teckna ett biträdesavtal, i enlighet med dataskyddsförordningen. Biträdesavtalet reglerar regionens skyldigheter som personuppgiftsbiträde gentemot privat vårdgivare som personuppgiftsansvarig, se bilaga 2. 8. KRAV PÅ GEMENSAMMA RUTINER Parterna förbinder sig att gemensamt arbeta utifrån utarbetade rutiner för: Rutiner för avvikelsehantering inom Region Sörmlands hälso- och sjukvård Rutin för kontroll av åtkomst till patientuppgifter Rutin vid misstanke om otillbörlig åtkomst Rutin ang personer med sekretesskydd från skatteverket Rutin för signering av journalanteckning och bekräftelse av åtgärder som rörpatientens vård och behandling Rutin för spärrad journal inom vårdgivaren, mellan verksamheterna Rutin för spärrad journal mellan vårdgivarna, sammanhållen journalföring Rutin för styrning av behörigheter i vårdsystem Regionen förbinder sig att utarbeta rutin för låsning efter systemutveckling i SC. Regionen ansvarar för årlig uppdatering av ovanstående rutiner som finns tillgängliga på regionens intranät, Insidan. Vårdgivarna som väljer att utträda ur systemet sammanhållen journalföring måste medverka vid utredning avseende händelser som inträffat under tid då vårdgivaren ingått i systemet. 9. SAMMANHÅLLEN JOURNALFÖRING, FÖRÄNDRING AV ANTALET VÅRDGIVARE Privat vårdgivare uppdrar åt regionen att företräda privat vårdgivare vid tecknande av avtal med andra vårdgivare innebärande sammanhållen journalföring. SID 4(7)
För att invånare ska kunna ta del av vilka vårdgivare som deltar i sammanhållen journalföring kommer Enheten för Hälsoval Sörmland att presentera dessa på Region Sörmlands webbsida. Kontinuerlig uppdatering sker genom enheten för Hälsoval Sörmland, då vårdvalssystemet innebär att vårdgivare kommer och går över tid. 10. EXIT I Regelboken föreskrivs att privat vårdgivare ska delta i sammanhållen journalföring samt att om verksamheten upphör så ska journalerna finnas kvar i sammanhållen journalföring i minst 10 år. Parterna ska i särskild överenskommelse reglera hur Region Sörmland, såsom driftsansvarig för den SC-installation som vårdgivaren använder, ska vara vårdgivaren behjälplig att uppfylla detta krav om vårdgivarens verksamhet upphör. Detta gäller även i det fall vårdgivaren ersätter SC med annan lösning. Överenskommelsen ska vara utformad senast inom 12 månader efter att detta avtal börjat gälla. 11. SEKRETESS Vårdgivaren ansvarar för att all personal som genom detta avtal ges tillgång till information i regionens IT-system har kännedom om de lagar, föreskrifter, upprättade regler och fastställda rutiner som reglerar sådan tillgång. Privat vårdgivare kan, utifrån avtalet om sammanhållen journalföring, ge regionen mandat att sekretesspröva och utföra tillfällig hävning av spärr vid gemensamma patientärenden. Mandatet är frivilligt för privat vårdgivare och gäller tillfällig hävning vid nödläge under obekväm arbetstid, se rutinen för spärrad journal mellan vårdgivarna, sammanhållen journalföring, se punkt 8. 12. SAMVERKAN Samtliga frågor kring detta avtal hanteras i samverkansgruppen, bestående av representanter från respektive vårdgivare som ingår i sammanhållen journalföring. 13. SKADESTÅNDSANSVAR För det fall att tredje part framställer anspråk gentemot någon av avtalsparterna (part 1), pga. att den andra parten (part 2) inte uppfyllt sina skyldigheter enligt detta avtal, åtar sig part 2, som brustit i åtagande att hålla part 1 skadelös för ersättningar och skadestånd som part 1 genom förlikning eller dom åläggs att erlägga för t.ex. sekretessbrott eller dataintrång. SID 5(7)
I de fall systemet SC inte gör det möjligt för vårdgivare att möta krav enligt patientdatalagen, har regionen ansvar för skada som uppkommit på grund av detta. En förutsättning är dock att vårdgivare har följt gemensamma rutiner, se punkt 8. 14. AVSTÄNGNING Regionen äger rätt att, i anledning av inträffad incident rörande patientsäkerhet eller patients integritet besluta om avstängning av privat vårdgivare från system för sammanhållen journalföring. Regionen äger också rätt att besluta om avstängning av privat vårdgivare från system för sammanhållen journalföring vid ägarbyte av vårdgivare utan att regionen givits tillfälle att dessförinnan granska och godkänna nya ägare. Avstängning innebär dock inte att privat vårdgivare förlorar åtkomst till egen vårddokumentation. Vid avstängning äger privat vårdgivare rätt att begära att partssammansatt utredning följt av genomförd handlingsplan som säkerställer såväl basnivå enligt detta avtal som patientsäkerhet och patienters integritet. När regionen bedömer att utredning och vidtagna åtgärder är tillfredsställande får regionen besluta om återanslutning. 15. HÄVNING AV AVTAL Regionen äger rätt att med omedelbar verkan häva avtalet om motparten efter avstängning inte iakttar avtalets bestämmelser. Detta innebär att privat vårdgivare inte får åtkomst till regionens och övriga privata vårdgivares vårddokumentation. 16. AVTALSTID, FÖRLÄNGNING OCH UPPSÄGNING Avtalet gäller fr.o.m. undertecknande och så länge kunden driver vårdcentralen enligt Regelbok för bedrivande av Primärvård i Region Sörmland, som kunden har med Region Sörmland, Hälsovalsstaben, 611 88 Nyköping. Om vårdgivaren väljer att ersätta användningen av SC med annan lösning som uppfyller kraven i enligt Regelbok för bedrivande av Primärvård i Region Sörmland kan detta avtal sägas upp med 6 månaders skriftligt varsel. För de patientjournaler som vårdgivaren upprättat i SC skall då tillämpas den särskilda överenskommelse som följer av punkt 10 ovan. SID 6(7)
17. FÖRÄNDRINGAR OCH TILLÄGG Förändringar och tillägg till detta avtal skall ske skriftligen och undertecknas av firmatecknare för samtliga parter för att äga giltighet. 18. KONTAKTPERSONER Region Sörmland Avtalsansvarig (Regiondirektör) Informationssäkerhetsansvarig (IT-säkerhetschef) Personuppgiftsbiträde (Regiondirektör) Avvikelsehanteringsansvarig (Chefsläkare i stab) IT-frågor (IT-chef) Privat vårdgivare Avtalsansvarig Informationssäkerhetsansvarig Personuppgiftsansvarig Avvikelsehanteringsansvarig 19. UNDERSKRIFTER Detta avtal har upprättats i två likalydande exemplar varav parterna tagit var sitt. Nyköping den För Region Sörmland. Jan Grönlund.. Namnförtydligande SID 7(7)