Personvern og GDPR i TrinnVis

I 2018 ble det innført ny lov om hvordan personopplysninger skal behandles. I tillegg til nasjonale regler inkluderte denne nye loven EUs personvernforordning – også kjent som GDPR. I forkant av lovinnføringen ble personverndelen av TrinnVis gjennomgått, omformet og oppdatert med de nye GDPR kravene.

Mange fryktet at personvern skulle bli vanskeligere, mer komplisert og mer tidkrevende etter innføringen av GDPR. Realiteten er faktisk motsatt: Etter oppdateringen er det blitt enda enklere å bruke TrinnVis for å sikre at dine pasienters personopplysninger blir korrekt behandlet.

Færre sider, færre dokumenter

Datasikkerhet var tidligere den mest omfattende delen av TrinnVis. Etter gjennomgangen er seks temasider redusert til kun to, og antallet retningslinjer er redusert til mindre enn en fjerdedel. I tillegg er annet innhold bearbeidet og forenklet. TrinnVis har faktisk blitt enklere med GDPR.

I tråd med den nye terminologien er datasikkerhet i TrinnVis omdøpt til personvern. Alle dokumenter under dette temaet finner du nå under temasiden Personvern og IKT.

Slette dokumenter

Mange dokumenter i listene har fått et orange kryss. Det betyr at maldokumentet har blitt overflødig og kan slettes. Hvis du trykker på krysset i versjonslisten, får du en forklaring på hvorfor dokumentet foreslås slettet.

Noen dokumenter har blitt overflødige på grunn av den tekniske utviklingen. Dette gjelder f.eks enkelte dokumenter knyttet til meldingsutveksling i elektronisk journal. Andre har innhold som er flyttet til andre dokumenter, som retningslinjen Backup og tilbakekopiering, hvor innholdet er gjort om til konkrete oppgaver. Mange retningslinjer kan slettes fordi innholdet er gjort om til smart funksjonalitet. Et eksempel på dette er retningslinjen Bærbart og mobilt datautstyr, som var en oversikt over tekniske krav. Disse kravene møter du nå der du registrerer datautstyret, i datakartet på siden Persondata og dataanlegg.

Interaktivt datakart gir oversikt

Datakartet blir det sentrale elementet i personvernarbeidet. Her skal du dokumentere all behandling av persondata. Det viktigste er pasientjournalen, men du skal også dokumentere personregistre som brukes av tilkoblet medisinsk utstyr, elektronisk pasientdialog, personalarkiv og andre registre eller systemer som behandler persondata. Så registrerer du hvor disse dataene lagres, hvordan nettverk og internettilkobling er satt opp – altså hele det miljøet persondataene befinner seg i. Datakartet støtter også dokumentasjon for fjernservere og skyløsninger, som nå kommer for fullt også i helsevirksomheter.

Hvis du allerede har dokumentert dataanlegget ditt i TrinnVis, trenger du ikke å registrere på nytt – bare de tilleggsopplysningene som det nye regelverket krever. Hvis du ikke har brukt denne siden før, er det her du bør starte!

Viser deg hva som mangler

Når persondata og dataanlegg er dokumentert, vil advarsler i datakartet vise eventuelle feil og mangler. På denne måten blir det enkelt å få oversikt over hva som må gjøres for å oppfylle både GDPR og norsk helse- og personvernlovgivning.

Risikovurderinger

Basert på informasjonen du registrerer om dine persondata, foreslår TrinnVis konkrete risikovurderinger som du bør gjennomføre for å oppfylle GDPR-kravene. Disse risikovurderingene har også forklarende hjelpetekster med tips om hvordan du kan få ned risikoen for de aktuelle hendelsene. Trykk på det blå spørsmålstegnet ved overskriften for å se hjelpeteksten.

Sjekkliste for databehandleravtale

GDPR stiller nye krav til avtaler med alle som behandler persondata på dine vegne. Mange databehandlere har utarbeidet nye avtaler for sine kunder, men disse avtalene må kontrolleres for å sikre at de også dekker kravene du må stille til leverandøren. I TrinnVis blir disse kravene oversatt til en sjekkliste knyttet til databehandleravtalen. Sjekklisten er dynamisk, og sjekklistepunktene referer til opplysningene du har registrert i datakartet. Hvis du f.eks har oppgitt at en leverandør tar seg av backup, vil sjekklisten be deg kontrollere at avtalen omfatter backup.

NB! Databehandleravtale er en ny versjon av den gamle Avtale om tilgang til dataanlegget. Eksisterende brukere finner den under det gamle navnet. I listen over Versjoner finner du det nye forslaget.