Pascal Tillämpningsanvisning Säkerhetsfunktioner i Pascal för NOD Version 0.9
Innehållsförteckning 1 Dokumentinformation... 3 1.1 Revisionsinformation... 3 1.2 Syfte och omfattning... 3 1.3 Teckenförklaringar... 3 2 Säkerhetsfunktioner... 4 2.1 Behörighet och åtkomstbegränsning... 4 2.2 Samtycke... 5 2.2.1 Övergripande regelverk... 5 2.2.2 Samtycke till sammanhållen journalföring (PDL-samtycke)... 6 2.2.3 Nödsituation... 7 2.2.4 Samtycke till Läkemedelsförteckningen (LF-samtycke)... 8 2.2.5 Återkalla samtycke... 9 2.2.6 Information till patient vid makulering av recept... 10 2.3 Spärrade uppgifter... 11 2.3.1 Övergripande krav kring spärr... 11 2.3.2 Kontroll av spärr för läkemedelsordinationer... 11 2.4 Tillfällig hävning av spärr... 13 2.5 Obekräftade ordinationer... 16 2.6 Interaktionskontroll... 17 3 Referenser... 17 Sid 2/17
1 Dokumentinformation 1.1 Revisionsinformation Version Datum Beskrivning Sign 0.2 2013-09-03 Utkast 0.3 2013-09-06 Justeringar efter intern genomgång samt avstämning av spärr, samtycke med CeHis 0.4 Justeringar efter intern genomgång, synpunkter från Pascal referensgrupp samt avstämning med NPÖ:s regelverk 0.8 2013-10-17 Justeringar efter granskning Inera, CeHis. 0.9 2013-10-17 Redaktionell justering kap 2.1 1.2 Syfte och omfattning Detta dokument beskriver hur säkerhetsfunktionerna tillämpas i webbapplikationen Pascal för NOD (Nationell Ordinationsdatabas). Primärt syftar säkerhetsfunktionerna till att hantera lagkrav och föreskrifter, t ex patientens rättighet att spärra uppgifter i journalen. Även om dokumentet har fokus på Pascals tillämpning av säkerhetsfunktionerna, kan innehållet vara till gagn för att implementera funktionerna i andra applikationer, t ex läkemedelsmoduler i vårdsystem som hämtar och lämnar data från och till NOD och på motsvarande sätt ger tillgång till en sammanhållen journalföring baserad på läkemedelsordinationer i NOD. Dokumentet omfattar regelverk och utformning av den funktionella delen i applikationen. Tekniska aspekter såsom hur den faktiska integrationen med Spärrtjänst går till dokumenteras istället i [5] SAD - Pascal. Ingående säkerhetsfunktioner i dokumentet: Behörighet och åtkomstbegränsning Samtycke till sammanhållen journalföring Samtycke till Läkemedelsförteckningen Spärrade uppgifter Nödsituation Tillfällig hävning av spärr Övriga säkerhetsfunktioner som kommer att beskrivas i detta dokument i senare utgåvor: Inloggning Åtkomstlogg 1.3 Teckenförklaringar ( ) ett valbart alternativ (typ radioknapp) (x) ett valbart alternativ (typ radioknapp) som är förvalt Sid 3/17
2 Säkerhetsfunktioner 2.1 Behörighet och åtkomstbegränsning Personer som har förskrivningsrätt, dvs. personer som har rätt att förskriva läkemedel för behandling av människor, är behöriga att använda ordinationsverktyget Pascal för NOD. Observera att begränsningen av behörigheten endast gäller ordinationsverktyget Pascal för NOD *. Förskrivare kan vara läkare, barnmorskor, sjuksköterskor med förskrivningsrätt, tandläkare samt tandhygienister. För det kompletta regelverket se LVFS 2009:13 [1]. Behörighetsstyrningen realiseras i applikationen med hjälp av stödtjänsterna Autentiseringstjänst och Katalogtjänst, se vidare SAD Pascal [5]. * Not: Behörighetsbegränsningen har beslutats av CeHis efter diskussion med Datainspektionen. Begränsningen gäller inte generell användning av NOD-tjänsterna när ett journalsystem integrerar med NOD. Ett sådant journalsystem kan implementera en utökad behörighetsmodell så länge den följer gällande lagar och föreskrifter. Notera även att andra behörighetsregler (enligt lag (1996:1156) om receptregister) gäller för information om patienter som får dosförpackade läkemedel, s.k. dospatienter. För dospatienter sker förskrivningar via Pascal för Dos eller via andra integrerade vårdsystem, och lagen tillåter att personer med legitimation för yrke inom hälso- och sjukvården har direktåtkomst till denna information hos Apotekens Service. Sid 4/17
2.2 Samtycke 2.2.1 Övergripande regelverk 1. Patientens samtycke till åtkomst till den samlade läkemedelslistan består dels av samtycke till direktåtkomst till ordinationer från andra vårdgivare (PDL-samtycke) samt samtycke till åtkomst till Läkemedelsförteckningen (LF-samtycke). Not: detta beror på att det är olika lagrum för de två informationsmängderna, Patientdatalagen (PDL) [2] respektive Lag om läkemedelsförteckning [3]. 2. Patienten ska kunna ge separat PDL-samtycke respektive LF-samtycke, dvs. patienten ska kunna samtycka till det ena men inte till det andra. Det ska dock finnas ett enkelt sätt i applikationen att ange att patienten samtycker till båda. 3. Applikationen ska hantera både engångssamtycke och tillsvidaresamtycke för LF. 4. PDL-samtycket och LF-samtycket ska gå att komma förbi i en nödsituation (via samma nödknapp för PDL och LF). Se vidare avsnittet Nödsituation. 5. Samtyckena hanteras gemensamt över de e-tjänster som är anslutna till den nationellt gemensamma infrastrukturen för PDL-samtycke respektive LF-samtycke. Detta innebär t ex att PDL-samtycket är samma samtycke som NPÖ hanterar. Har man registrerat samtycket (i Samtyckestjänsten) via en e-tjänst, så gäller det för alla anslutna e-tjänster. Motiv: Detta följer de gemensamma riktlinjerna för hantering av samtycke beslutade av CeHis. Sid 5/17
2.2.2 Samtycke till sammanhållen journalföring (PDL-samtycke) 1. Ordinationer från andra vårdgivare (än användarens egen) får endast visas för användaren om denna har fått patientens samtycke (PDL-samtycket). Kontroll av om samtycke finns görs via tjänstekontrakt för patientsamtycke, se [5]. 2. Vid registrering av samtycke att visa uppgifter från andra vårdgivare (PDL-samtycke) ska följande kunna anges (x) Samtycke finns ( ) Samtycke saknas ( ) Samtycke krävs inte [valet visas enbart för patienter under 18 år; kompletteras med förklarande text] 3. När samtycke registreras kan väljas om samtycket gäller för en av (x) Endast mig ( ) All behörig personal på vårdenheten 4. När samtycke registreras kan väljas om samtycket gäller en av (x) En vecka ( ) Till och med [valbart datum] 5. Samtyckesdialogen visas efter val av patient. Enbart om PDL-samtycket saknas visas samtyckesdialogen. Not: Samtycke saknas innebär att ordinationer från andra vårdgivare inte får visas. Dock kan den egna vårdgivarens ospärrade ordinationer visas utan patientens PDL-samtycke. När denna lista visas upp, måste användaren på något sätt uppmärksammas om att listan inte är komplett. Samtycke saknas kan ha olika orsaker: patienten samtycker inte till direktåtkomsten, eller att patienten (ännu) inte har tillfrågats efter samtycke. Samtycke krävs inte används för barn (personer under 18 år) som inte bedöms mogna ännu att ta ställning till frågan om samtycke. Samtycke ska inte begäras av barn förrän Sid 6/17
barnet uppnått tillräcklig mognad, dvs. det är en bedömningsfråga och kan inte enbart styras av barnets ålder. Detta medför att ett extra val behövs: Samtycke krävs inte. Applikationen minns detta val för sessionen enbart; varje gång man väljer en patient får man ta nytt ställningstagande när detta val används. Förvalen är avstämda med motsvarande regelverk i NPÖ. 2.2.3 Nödsituation 1. I nödsituation, där det är fara för liv eller allvarlig risk för patientens hälsa 1, ska man kunna klicka på Nödsituation istället för att fråga patienten om samtycke. Applikationen ska då registrera ett motsvarande intyg (nödsituationsintyg) i Samtyckestjänsten, som gäller ett dygn framåt i tiden. Intyget ger samma tillgång till patientens uppgifter som samtycket. Nödsituation -knappen ger åtkomst både enligt PDL och enligt Lag om Läkemedelsförteckning. Användaren får bekräfta valet Nödsituation och därefter visas patientens läkemedelslista. Not: Se även Nödsituation då det finns spärrade uppgifter i kapitlet om tillfällig hävning av spärr nedan. 1 Enligt definition i Patientdatalagen [2] Sid 7/17
2.2.4 Samtycke till Läkemedelsförteckningen (LF-samtycke) 1. Uppgifter från Läkemedelsförteckningen (LF, information om uthämtade läkemedel) får endast visas om användaren har patientens samtycke till åtkomst till LF. 2. Vid registrering av patientens samtycke till åtkomst till LF ska kunna anges om samtycke gäller (x) Endast vid detta tillfälle ( ) Tillsvidare Motiv: Förvalet är avstämt med regelverk för NPÖs kommande funktionalitet kring LF-samtycke. 3. Valet Tillsvidare ska endast visas om användaren har behörighet att ange detta val. Det är endast förskrivare med personlig förskrivarkod som ska kunna registrera tillsvidaresamtycke för LF. 4. Det ska framgå i användargränssnittet om samtycket är återkallat, för att skilja det mot fallet att samtycke saknas eftersom det aldrig registrerats.* *Motiv: Enligt handbok för vårdaktörer för Läkemedelsförteckningen [6] ska användaren i förekommande fall uppmärksammas på att LF-samtycket är återkallat för att skilja det från fallet att det inte är avgivet. Om detta inte visas riskerar man att användaren klickar i patientens samtycke igen eftersom denne redan pratat med patienten tidigare. 5. Kontrollerna för att ange LF-samtycke visas på samtyckesdialogen tillsammans med PDL-samtycke efter val av patient. Enbart om PDL-samtycket saknas visas samtyckesdialogen. 6. Då användaren väljer att visa expediering på apotek (uthämtade läkemedel) görs kontroll av att LF-samtycke finns, och om det saknas visas samtyckesdialog för LFsamtycket. Sid 8/17
2.2.5 Återkalla samtycke [Funktionen är planerad till pilot #2 av Pascal för NOD] 1. Ordinatören kan på patientens begäran återkalla samtycket i Pascals gränssnitt. Återkalla nås från vyn läkemedelslistan genom klick på låset högst upp, eller genom att fälla ner patientinformationen i listvyn och klicka på Hantera samtycken 2. Vid återkallandet av PDL-samtycke, återkallas alla registrerade samtycken i Samtyckestjänsten som applicerar för användaren (det kan finnas ett personligt och ett registrerat på användarens vårdenhet). Motiv: enkelhet i användargränssnittet går här före flexibilitet. Om behovet är mer speciellt finns möjligheten att vända sig till administratör för Samtyckestjänsten att återkalla samtycke. 3. För LF gäller att knappen Återkalla endast tänds om det finns ett registrerat tillsvidaresamtycke, vilket endast kan finnas för förskrivare med personlig förskrivarkod. Vid engångssamtycke bör istället texten Gäller endast vid detta tillfälle visas. Detta samtycke försvinner när patienten stängs i Pascal. Not: Funktionen återkalla samtycke är lägre prioriterad i Pascal. Som alternativ för att återkalla PDL-samtycket finns att tillgå det administrativa gränssnittet i Samtyckestjänsten, samt att det finns en blankettrutin hos Apotekens Service för att återkalla LF-samtycket. Sid 9/17
2.2.6 Information till patient vid makulering av recept Även om följande inte är att betrakta som ett aktivt patientsamtycke, nämns det ändå här då det handlar om att patienten ska vara informerad. 1. Patienten ska vara informerad om receptet makuleras i Receptregistret. Detta hanteras tekniskt genom att skicka en samtyckesflagga i bakomliggande tjänst. Användaren behöver välja en orsak när ordinationen i NOD ska sättas ut. Då utsättningen resulterar i makulering av tillhörande recept behöver det framgå för användaren att patienten behöver vara informerad. Sid 10/17
2.3 Spärrade uppgifter 2.3.1 Övergripande krav kring spärr 1. Spärr och hävning av spärr begärs av patienten och administreras i Spärrtjänsten. Spärrtjänsten är ett separat system utanför Pascal och NOD, varför krav kring denna hantering inte tas upp i detta dokument. Se [4]. 2. I Spärrtjänsten är det möjligt att undanta läkemedelsinformation från spärren. Det är upp till vårdgivaren att erbjuda denna möjlighet i sitt landsting. Pascal för NOD kommer att ta hänsyn till om spärren har sådant undantag, och i sådant fall visa läkemedelsordinationerna trots spärren. 3. Användare kan tillfälligt häva (forcera) inre spärrar via Pascal. Se vidare Tillfällig hävning. 2.3.2 Kontroll av spärr för läkemedelsordinationer Patienten kan begära spärr av uppgifterna i vården. Det kan läggas en s.k. inre spärr på den ansvariga vårdenheten varvid uppgifterna spärras för andra vårdenheter, eller en s.k. yttre spärr på vårdgivarnivå varvid uppgifterna spärras för alla andra vårdgivare. Följande regler tillämpas innan den samlade läkemedelslistan visas, för att avgöra om en ordination är spärrad eller ej i Pascal för NOD. 1. Spärrkontroll utförs i applikationen på de patientuppgifter som hämtats från NOD och som användaren är behörig till. Kontrollen utförs alltså på det hämtade materialet, och inte på patientuppgifter som finns lagrade men som ännu inte hämtats, inte heller på uppgifter användaren saknar behörighet till (som ändå inte visas). 2. Grundregel: En ordination blir spärrad om en spärr är lagd på den vårdenhet eller vårdgivare där ordinationen är registrerad*. 3. Från grundregeln ovan finns följande undantag a. Om patienten har gjort undantag för läkemedelsinformation från den lagda spärren, har spärren ingen effekt på uppgifter som klassas som läkemedelsinformation, dvs. läkemedelsordinationen blir inte spärrad**. b. Spärr som lagts på användarens egen vårdenhet och/eller vårdgivare spärrar aldrig uppgifter för användaren i fråga. Egen vårdenhet respektive egen vårdgivare är den vårdenhet/vårdgivare som användaren är inloggad på. c. Om spärren är tidsbegränsad avseende när uppgifterna registrerats, spärras enbart ordinationer som är registrerade inom tidsbegränsningen**. * Not: Den vårdenhet/vårdgivare varifrån ordinationen är registrerad i NOD är informationsägare och kallas även ordinationens vårdenhet/vårdgivare. ** Not: Enligt beslut i samråd med CeHis räknas alla uppgifter i NOD kring läkemedelsordinationen till läkemedelsinformation. Ordination av handelsvaror räknas inte till läkemedelsinformation. *** Not: registreringstidpunkten för ordinationen används för att samordna med principen i NPÖ. Motivet är att det är den upprättade handlingen som spärras inte händelsen. Sid 11/17
4. Spärrad ordination vs ordinationskedja Spärren slår på varje enskild ordination oavsett ordinationskedjor (ordinationer som ersätter varandra i en händelsekedja). Not: detta kan således betyda att det skapas hål i ordinationskedjan något som måste hanteras i användargränssnittet när historik visas. 5. Om spärrkontrollen visar att spärrade uppgifter finns men att spärrarna är tillfälligt hävda, ska det framgå i användargränssnittet att det finns spärrade uppgifter som nu visas*. Se nedan angående Tillfällig hävning av spärr. * Motiv: Detta är en signal till vårdpersonalen att uppgifterna bör hanteras med särskild varsamhet. En tillfällig hävning kan vara gjord av en personal och gällande för all behörig personal på vårdenheten, vilket gör det extra viktigt att signalera detta. Sid 12/17
Pascal för NOD 2.4 Tillfällig hävning av spärr [Funktionen är planerad till pilot #2 av Pascal för NOD] 1. Tillfällig hävning av spärr ska kunna göras med patientens samtycke eller genom att åberopa nödsituation. 2. Användaren ska kunna nå funktionen tillfällig hävning av spärr från dialoger enligt nedan. I ett första steg visas att/om det finns spärrar inom egen vårdgivare respektive om det finns spärrar hos andra vårdgivare: 3. Tillfällig hävning med patientens samtycke följer nedan flöde: a. Funktionen nås från hänglåset -listen på patientens läkemedelslista b. Om användaren anger att samtycke finns och bekräftar sitt val att gå vidare med tillfällig hävning, visas information om från vilka vårdenheter inre spärrar finns (om några), samt från vilka vårdgivare spärrar finns (om några). Alla spärrarna kan hävas tillfälligt med samma knapptryck, dvs. man har möjlighet men tvingas inte att hantera varje spärr för sig. Inera AB Besök: Östgötagatan 12 Sid 13/17
4. Tillfällig hävning vid nödsituation följer flödet nedan. a. Användaren klickar på Nödsituation i dialogerna ovan. Om det finns spärrade ordinationer, visas följande dialog: Not: I dialog ovan, lägg till inledande text Jag behöver ta del av patientens samlade läkemedelslista, inkl. läkemedelsförteckningen, trots att samtycke inte har inhämtats. b. I nödsituation är det förvalt alla enheter där spärr finns samt att hävning gäller under ett dygn, så att det räcker med ett bekräftande knapptryck för att häva spärrarna: Sid 14/17
5. Vid registrering av tillfällig hävning ska anges om hävningen gäller för en av (x) endast mig [den som begär hävningen] ( ) all behörig vårdpersonal på vårdenheten 6. Vid registrering av tillfällig hävning ska anges hur länge hävningen gäller, (x) 1 dygn ( ) en vecka OBS. Vid nödsituation behöver användaren inte ta ställning till detta, ett förval på ett dygn gäller alltid. Motiv: när det är brådskande ska det finnas så få val och klick att göra som möjligt. Detta är även i linje med regelverk för nödsituation i NPÖ. 7. Vid registrering av tillfällig hävning sparas också om det fanns samtycke eller om det var nödsituation. Detta sparas automatiskt utifrån vad användarna valde i början av flödet ovan. Not: En frivillig orsak till hävningen i fritext kan anges i tjänsten, men i Pascal används inte denna. Motiv: Bedömningen är att det är behovet att läsa uppgifterna som alltid gäller som orsak. Fältet orsak har större betydelse i Säkerhetstjänsters användargränssnitt [1] där det är en administratör som utför handgreppen på uppdrag av annan. Sid 15/17
2.5 Obekräftade ordinationer Förskrivningar inkomna via PIRR-ingången till Apotekens Service (e-recept) lagras i NOD som s.k. obekräftade ordinationer, och kan läsas via en tjänst. För dessa gäller följande regler 1. Samtycke a. För att få tillgång till obekräftade ordinationer krävs alltid PDL-samtycket* 2. Spärrkontroll * Motiv: Det går inte i NOD att avgöra till vilken vårdenhet enligt PDL som en viss obekräftad ordination tillhör. Regelverket måste därför vara restriktivt och ur åtkomstsynpunkt betrakta alla obekräftade ordinationer som tillhörande annan vårdgivare. a. Grundregel: Om patienten har spärrade uppgifter (minst en spärr finns inlagd), visas inga obekräftade ordinationer, vare sig historiska eller nytillkommande. b. Från grundregeln ovan finns följande undantag i. Om patienten har gjort undantag för läkemedelsinformation från den lagda spärren, har spärren ingen effekt på uppgifter som klassas som läkemedelsinformation, vilket även gäller obekräftade läkemedelsordinationer. ii. Spärr på egen vårdenhet (inre) eller egen vårdgivare (yttre) spärrar inte informationen. iii. Om spärren är tidsbegränsad avseende när uppgifterna registrerats, spärras enbart obekräftade ordinationer som faller inom tidsbegränsningen. 3. Tillfällig hävning av spärrar applicerar även för obekräftade ordinationer. Dock måste alla eventuella spärrar (utom på egen vårdenhet/vårdgivare) vara hävda för att få visa obekräftade ordinationer. 4. Bekräfta ordination: När en obekräftad ordination bekräftas i NOD, skapas en ordination i NOD utgående från en befintlig förskrivning i form av e-recept. Därefter hanteras ordinationen som alla andra ordinationer som skapats i NOD, t ex i fråga om samtycke och spärrkontroll. Sid 16/17
2.6 Interaktionskontroll 1. Interaktionskontrollen i Pascal görs på, och endast på, ordinationer som användaren har rätt att läsa. Det innebär att kontroll inte görs för spärrade ordinationer, och inte heller för andra vårdgivares ordinationer om PDL-samtycke saknas. Det innebär också att interaktionskontroll görs på alla för användaren tillgängliga ordinationer. 2. Det måste tydligt framgå i användargränssnittet om interaktionskontrollen inte är fullständig, dvs. inte görs på patientens alla ordinationer (p.g.a. spärr och/eller avsaknad av samtycke). 3 Referenser 1 Läkemedelsverkets föreskrifter om förskrivningsrätt 2 Patientdatalag (2008:355) 3 Lag (2005:258) om läkemedelsförteckning 4 Säkerhetstjänster Användarhandbok http://www.lakemedelsverket.se/malgrupp/halso---sjukvard/forskrivning/ http://www.riksdagen.se/sv/dokument- Lagar/Lagar/Svenskforfattningssamling/Patientdatalag-2008355_sfs-2008-355/ http://www.riksdagen.se/sv/dokument-lagar/lagar/svenskforfattningssamling/sfs_sfs-2005-258/ http:///documents/infrastrukturtjanster/sakerhetstjanster/dokument/anvandarh andbok/anvandarhandbok_lokala_sakerhetstjanster.pdf 5 SAD - Pascal Arkitekturbeskrivning för Pascal 6 LF handbok Handbok för vårdaktörer Human del 2 Läkemedelsförteckningen_4.0 Sid 17/17