Extensor jobber nå med følgende ift. innføring av GDPR:
- Vi vil ila den nærmeste tiden sende ut databehandleravtale til våre kunder som enda ikke har dette.
- Som kunde vil man ila kort tid motta e-post hvor vi trenger at du bekrefter og samtykker til at vi har informasjon/data lagret om deres virksomhet i våre styringssystemer.
- Som kunde vil man ila kort tid motta e-post hvor vi trenger at du bekrefter og samtykker til å motta informasjon via nyhetsbrev eller pr e-post fra oss.
- Det vil igangsettes rutiner for sletting av «ikke aktiv» informasjon i våre styringssystemer på data som ikke er relevant for oss pr d.d.
Vi får mange spørsmål om hvordan vi ivaretar blant annet sletting av data/informasjon i våre journalsystemer. Det vesentlige her er å etterleve pasientjournalforskriften med dens føringer for lagring og oppbevaring av pasientsensitive data. Det er viktig å merke seg at innholdet i selve journalsystemet i all hovedsak speiles opp mot normen og de reguleringer/lovpålegg som foreligger her. Innhold i selve journalsystemet kan ikke knyttes til selve reguleringer som GDPR gir, da pasientsensitive data er i en særstilling.
Når det gjelder våre interne rutiner er det viktig å påpeke at Extensor ikke benytter underleverandører som gis tilgang til kundeinformasjon. Vi flytter heller ingen data over til eksterne leverandører som holder til utenfor EU/EØS land.
Pasientjournalsystemet er en liten del av de styringssystemene som databehandlingsansvarlig må implementere i den daglige driften.
Viktige fakta vedrørende GDPR:
- Tilgangsstyring – omfatter alle bedriftens systemer, men også EPJ
- Autorisasjonsregister – omfatter alle bedriftens systemer, men også EPJ
- Hendelsesregistrering – omfatter alle bedriftens systemer, men også EPJ
- Teknisk sikkerhetsløsning – ligger utenfor EPJ
- Sikkerhets- og tilbakekopiering – omfatter også EPJ men ligger på utsiden
- SMS og e-post – omfatter også EPJ men ligger både i og på utsiden
- Flyttbare medier – ligger utenfor EPJ
- Plassering av utstyr – ligger utenfor EPJ
- Sikkerhetsrisikovurdering – ligger utenfor EPJ
Det stilles krav til å benytte systemer med innebygd personvern (Data protection by design and by default). Med Extensor kan man være trygg på at virksomheten er i stand til å etterkomme alle kravene som det eksisterende og nye regelverk stiller til informasjons-sikkerheten. Med korrekt bruk og oppsett av Extensor, har vi i flere år etterkommet de kravene som i dag stilles i Norge. Dette ved: tilgangsstyring, rollen som gir autorisasjon, innlogg via personlige bruker, autorisasjonsregister, hendelsesregistrering/logging, samtykke ved mottakelse på SMS og E-post, bruk av databehandleravtale mellom partene, pasientrettigheter er ivaretatt ved innsyn, utskrift, retting/sletting, sperring og oppheving av sperring, permanent sletting (i tilfeller hvor dette er påkrevd) og reservasjon av innsyn.
Har du spørsmål vedrørende GDPR utover dette kan dere kontakte oss på support@extensor.no
