Opsamling på PLO og Sundheds-og Ældreministeriets indsats for styrket it-og informationssikkerhed i almen praksis

Transkript

1 PRAKTISERENDE LÆGERS ORGANISATION Sagsnr Sagsbehandler: MIB/NCH Opsamling på PLO og Sundheds-og Ældreministeriets indsats for styrket it-og informationssikkerhed i almen praksis Datasikkerhed er et vigtigt politisk emne for PLO, hvorfor PLO har sat høje ambitioner for rådgivning og bistand til vores medlemmer om it-og informationssikkerhed. PLO takker Sundheds-og Ældreministeriet for også at se vigtigheden i dette område og for at gå ind et fælles samarbejde om it-sikkerhed det forgange år. Der er heldigvis ikke i dag sager om læk af patientdata fra almen praksis, men i takt med at PLO og SUM igangsætter flere og flere fælles it-projekter med deling af patienternes data øges risikoen for læk. PLO finder det derfor vigtigt, at indsatsen for at styrke it-sikkerheden fortsat prioriteres de kommende år og i et tæt samarbejde mellem Sundheds-og Ældreministeriet og PLO. Gennemførte leverancer PLO og Sundheds-og Ældreministeriet har i perioden marts 2017 til juni 2018 gennemført et samlet projekt om at styrke it-og informationssikkerheden i almen praksis. Indsatsen har været forankret i PLO s It-og dataudvalg og haft til formål at hjælpe lægerne med at overholde formelle krav i EU s persondataforordning som selvstændige erhvervsdrivende virksomheder, der behandler patientdata, sådan at patienternes data er i sikre hænder og lægerne undgår bøder. PLO og SUM s leverancer i projektperioden har været følgende: It-sikkerhedstest af 8 systemhuse Ny it-sikkerhedstest af 3 systemhuse Vejledningsmateriale om it-sikkerhed Pjece, Informationssikkerhed i din klinik (Tilpasning af Sundhedsdatastyrelsens Vejledning om informationssikkerhed i sundhedsvæsenet ) Digital it-sikkerhedstest til klinikere i almen praksis Kristianiagade 12 Tlf E-post plo@dadl.dk Fax København Ø Tlf (direkte) E-post (direkte)

2 2/5 Informationskampagne om it-sikkerhed til almen praksis (artikelserie, billedkampagne, pop-ups i lægepraksissystemer) Grafisk indhold til kampagneside på læger.dk om it-sikkerhed Phishing-kampagne til alle medlemmer (3500) som led i øget informationskampagne om it-sikkerhed PLO vil endvidere følge op på it-sikkerheden hos alle 8 systemhuse via den årlige it-revision, som systemhusene har forpligtiget sig på at udføre i databehandleraftalen med deres kunder. PLO s egne leverancer har i projektperioden været målrettet den juridisk del af GDPR og etablering af en samlet kampagneside om it-sikkerhed. PLO s leverancer har bestået af: Etablering af kampagneside om it-sikkerhed på læger.dk Svar på ofte stillede spørgsmål (Q&A) om it-sikkerhed og persondataforordningen Afholdelse af 6 stormøder i landet med deltagelse af 1200 medlemmer GDPR dataflowsanalyse for almen praksis GDPR artikel 30-fortegnelse for alle klinikker Forhandlet ensartet databehandleraftaler med de 8 systemhuse for alle klinikker Udarbejdet standard privatlivspolitik for alle klinikker PLO har samlet alle leverancer under temasiden. Som en indikation af medlemmernes anvendelse af PLO s materiale har sekretariatet opgjort anvendelsen af temasiden om it-sikkerhed fra 1. april til 21. juni 2018, som har udgjort 45 pct. af de samlede unikke visninger på PLO s hjemmeside i den periode. Forslag til nye indsatser omkring informationssikkerhed i almen praksis Arbejdet med it-sikkerhed og GDPR har givet PLO viden om en række områder, hvor der passende kan gøres en fælles indsats, som kan hjælpe klinikkerne i almen praksis med at styrke it-sikkerheden de kommende år. Disse er listet herunder.

3 3/5 1 Patienters accept af privatlivspolitik ved lægeskift Den praktiserende læge skal med GDPR aktivt stille en privatlivspolitik til rådighed for sine patienter, så patienterne er indforstået med databehandlingen. I almen praksis stilles en sådan privatlivspolitik til rådighed i klinikken i print og på klinikkens hjemmeside, hvormed patienten selv kan orientere sig om klinikkens behandling af patientens helbredsoplysninger. På PLO s medlemsmøder om GPDR har PLO modtaget ønsker fra medlemmerne om en fælles løsning for almen praksis, hvor patienten modtager og accepterer klinikkens privatlivspolitik. PLO har i denne sammenhæng omtalt en mulig løsning på borger.dk, hvor patienten, ved lægeskift, modtager klinikkens privatlivspolitik og aktivt skal acceptere denne før lægeskiftet kan godkendes. På denne måde har den dataansvarlige læge bevis for, at patienten er indforstået med klinikkens privatlivspolitisk. Løsningen kan i visse henseender også være relevant for andre specialer i primærsektoren på fx sundhed.dk, hvorfor der oplagt kan etableres en fælles model. 2 Kvittering for korrekt overdragelse af patientjournalen ved lægeskift PLO har modtaget en række henvendelser fra læger, som oplever at forsendelse af journal til ny læge via FNUX-formatet (teknisk format til forsendelse af journaler) ikke altid fungerer tilfredsstillende. Eksempler herpå er, at der mangler dele af journalen og at indholdet ser anderledes ud i det modtagende journalsystem, hvorfor det kan være svært at fremfinde den relevante information i journalen. Lægerne har, jf. den danske persondatalov, formelt set overdraget ansvaret for journalen efter denne er blevet sendt til patientens nye læge, men i tilfælde af at vigtigt indhold ikke kan findes frem eller at den tidligere læge modtager en klagesag fra patienten, vælger mange læger ikke at slette journalen. For at sikre at FNUX-formatet virker efter hensigten, og lægerne kan blive betrygget i at patientjournalen er overdraget til ny læge, ønsker PLO at der kommer yderligere fokus på en opdatering af FNUX-standarden og systemhusenes efterfølgende håndtering af FNUX samt at der udvikles en funktionalitet, hvor lægerne modtager en kvittering ved succesfuld overdragelse af journalen. På denne måde er den dataansvarlige sikker på at journalen er kommet frem og kan slette denne i eget system. En forbedring af systemhusenes håndtering af FNUX-formatet vil også være relevant for andre specialer i primærsektoren, fx i forbindelse med overdragelse af journaler ved lukning af klinikker eller kliniksalg. 3 Afklaring af muligheder for implementering af sikker post i almen praksis med borgeren I dag tilbyder lægen e-konsultation til patienterne. I andre henseender sender lægen også personfølsomme oplysninger fra journalen til patienterne,

4 4/5 hvor det vil være hensigtsmæssigt med en sikker forsendelse af oplysningerne til patientens e-boks/digital post. PLO har tidligere undersøgt muligheden for en fælles aftale for almen praksis med brug af e-boks, så almen praksis kan kommunikere til patienternes e-boks på ligne med offentlige sygehuse. Dette har ikke været muligt, hvorfor PLO vil kigge på andre løsninger. FAPS og Danske Regioner har også rettet henvendelse til Digitaliseringsstyrelsen om en mulig fælles løsning med brug af digital post. 4 Højere krav til systemhuse I dag er systemhusene alene certificeret til at håndtere MedCom-standarder, mens deres øvrige virke i høj grad er en ren tillidssag. Med den sektorfælles databehandleraftale er der formuleret en række nye mindstekrav til systemhusene, men med et øget fokus på persondatasikkerhed, kan tiden være kommet til at supplere disse krav med øgede krav fra myndighedernes side, evt. en egentlig certificeringsordning, der godkender systemhusene som sådan til at levere journalsystemer til almen praksis. Højere krav til fx informationssikkerhed for leverandører af journalsystemer til almen praksis vil også være relevant for andre leverandører af journalsystemer til primærsektoren. Derfor kunne det med fordel inkludere noget, som MedCom står i spidsen for. 5 Forslag om brug af datakonsulenter til rådgivning om it-sikkerhed Det er PLO s vurdering, at hvis it-sikkerheden skal styrkes yderligere i almen praksis vil det kræve en langt større grad af individuel rådgivning af den enkelte klinik, da viden om it-sikkerhed og det tekniske setup er meget varierende. Der er i dag ansat 2-3 datakonsulenter i hver region, som yder teknisk rådgivning og bistand til klinikkerne i almen praksis om bl.a. FMK, MedComstandarder, forløbsplaner mv. Ansættelsesvilkår og arbejdsområder er dog varierende fra region til region. Datakonsulenterne i Region Sjælland har valgt at nedtone opgaverne med rådgivning om bl.a. FMK og MedCom-standarder og bruger i stedet størstedelen af deres tid på at forbedre it-sikkerheden i klinikkerne i regionen. De yder generel rådgivning og vejledning om it-sikkerhed, tester klinikkernes it-sikkerhedsniveau og udarbejder konkrete handlingsplaner for de enkelte klinikker på de områder, hvor de vurderer, at der er behov for at gøre en indsats. Datakonsulenten følger op på handlingsplanen med klinikken på et efterfølgende opfølgningsmøde. Der er i alt 285 ydernumre i Region Sjælland fordelt på 470 læger. Heraf når region Sjællands to datakonsulenter ud til ca. 100 ydernumre fordelt på omkring 75 besøg om året.

5 5/5 Denne model kan oplagt udbredes til de øvrige regioner, hvis der er politisk ønske om dette. PLO ser at SUM med fordel kan være med til at motivere de øvrige regioner til også at fremme den kliniknære it-sikkerhed. PLO stiller gerne op til et møde med SUM om et eventuelt fortsat samarbejde om at styrke informationssikkerheden i almen praksis. Med Venlig hilsen Henrik Dibbern Formand for PLO s It-og Dataudvalg Juli 2018