GDPR i helsesektoren - a match made in heaven?

Transkript

1 GDPR i helsesektoren - a match made in heaven? Photo: Piron Guilamme on Unsplash Simen Sommerfeldt til ehelse 2018

2 Simen Sommerfeldt Ingeniør fra University of Surrey Pappa til tre Rolle: CTO konsern Spesialitet: Kunstig intelligens, GDPR, tingenes internett Grunnlegger av Lær Kidsa Koding! Grunnlegger av Oslo GDPR Meetup Medlem av kompetansegruppen i Digital21

3 14 kontorer i Norge og Sverige Skandinavisk konsulentselskap 1200 ansatte Notert på Oslo Børs IT Kommunikasjon Virksomhetsstyring

4 Våre tjenester Virksomhetsarkitektur Business Intelligence Multikanalstrategi IT-arkitektur Testledelse Sikkerhet Prosjektledelse Rådgivning Information Management Digital strategi Skreddersydde løsninger Kurs Design Web-løsninger Merkevarebygging Innhold Samhandling Mobile løsninger Brukertesting Sosiale medier Kommunikasjon Teknologi Systemutvikling Analyse Business Intelligence Integrasjon SAP Applikasjonsforvaltning Infrastruktur Åpne kurs Bedriftsinterne kurs

5 GDPR og meg o Holdt på med det hos kunder siden 2014 o Holdt 150 Foredrag? (Topp 5 mest sett fra Javazone 2017) o Skrevet artikler i og intervjuet av Digi, Computerworld o Holder tre forskjellige kurs sammen med Eva Jarbekk - hos Bouvet kursavdeling og for kunder o Gjesteforeleser ved HIOA o Fikk datatilsynets veileder om innebygd personvern til gjennomsyn o Bidro i paneldebatten ved lanseringen av datatilsynets veileder om GDPR og kunstig intelligens o Forklarte GDPR på NRK P2 s EKKO sammen med Forbrukerrådet o Skriver håndbok i personvern sammen med Eva Jarbekk.

6 Behandlingsgrunnlag o For å oppfylle en kontrakt o For å oppfylle en lov eller forskrift o Vitale interesser o I offentlighetens interesse o Legitim interesse o Etter samtykke Rettigheter o Til innsyn o Til å bli glemt o Til å nekte automatiske avgjørelser o Til å korrigere informasjon o Til å kunne ta med seg informasjon Viktige begreper o Sanksjonsregime o Massesøksmål o Databehandleravtaler o Bransjestandard o Sikkerhet og varslingsrutiner o Personvernkonsekvensutredning o Innebygd personvern

7 GDPR kom i grevens tid. Vi er herrer over informasjonen, i kontrast til i USA

8 I forhold til annet lovverk innen helse o Normen o Helsepersonal-loven o Helsejournal-loven o Helseregisterloven o Register for utlevert medisin o Forskrift om deling av informasjon i legefelleskap o Egne forskrifter for forskning, helseregistre, genetikk, etc o Stortingsproposisjonen nevner konsesjoner for sektorer o «Det må en lovendring til for å løse utfordringen med org. nummer i behandlingssituasjoner»

9

10 DPIA - personvernkonsekvensutredning o DPIA er en forhåndskontroll foretaket selv er ansvarlig for, og som erstatter konsesjon og meldeplikt o DPIA skal sikre etterlevelse av GDPR, og tar utgangspunkt i risikoen for den registrerte o En DPIA skal kjøres på forretningsprosesser (Pasientreisen?), og vil ofte involvere flere aktører o En DPIA innholder blant annet en ROS analyse, og hvor godt rettighetene er ivaretatt

11 prosjekter GDPR og sikkerhet i en bedrift bedriften System A GDPR DPIA Avhengig av Avhengig av Sikkerhet (ISO ) System B GDPR DPIA GDPR Beskrives i Beskrives i Internkontrollsystemet

12 Avklaringer mellom oppdragsgiver og leverandør Oppdragsgiver/behandlingsansvarlig er ansvarlig for: o Sikkerhetspolicy o Personvernpolicy o Personvernkonsekvensutredninger o Retningslinjer for ROS analyser Utvikling med innebygget personvern Anonymisering og pseudonymisering Lagringstid og kriterier for sletting Varslingsrutiner

13 Utfordringer innen helsesektoren o Relasjonen mellom individ og organisasjonummer o Tradisjonelt dårlig disiplin for sikkerhet i innkjøp og forvaltning (manglende insentiver) o «Vi har sikkert behandlinsgrunnlag» er noe fremherskende i det offentlige også i helse? o «Blålysknappen» er mye brukt men bruken ujevnt gjennomgått o «Bedre sikkerhet eller ny røntgenmaskin?» o Når jeg flytter kommune - er min informasjon nullstilt? o «GDPR er farlig: Vi samhandler mindre» o Almenntjenester vs spesialister o Pasientsikkerhet vs Pasientsikkerhet o Helse har fått søkelyset på seg ref Helse-SørØst o Store utfordringer innen velferdsteknologi.

14 Det er behov for bedre samhandling, koordinering, kommunikasjon og medvirkning for å redusere og hindre pasientskader, unødig ventetid og ekstra belastning for pasienter og deres pårørende

15 En ung rusmisbruker ankommer legevakten.. Image: Shutterstock

16 «Mamma fikk fem middager levert hjem mens hun var på sykehuset» Photo: NeONBRAND on Unsplash

17 Image: Shutterstock Fremtidens helsetjeneste

18 «Vi vil dele når vi vet at dataene vil bli behandlet skikkelig. Vi vil dele når vi får noe igjen for å dele» - Bjørn Erik Thon, direktør i Datatilsynet

19 Hva gjøres i sektoren o Normen oppdateres o Andre lover og forskrifter må oppdateres/blir oppdatert o Oslo kommune lager veileder for velferdsteknologi og forordningen o ehelsedirektoratet har veileder for anskaffelser og utvikling o Mye spredt i foretakene. Lite samordning o Høy aktivitet på DPIA, kartlegging og prosjekter for «compliance».

20 En nøtt når vi skal lage Personvernkonsekvensutredning...

21 Hvilken informasjon om hvem blir håndtert hvor, av hvilke brukere i hvilket system og orgnummer?

22 INFORMASJONSREISER Ny storbylegevakt for Oslo Rune Schumann Benita Haftorn Hildonen

23 Øyvind Doktorgrad i fysikk o o o 46 år gammel, ingen barn og ugift Har doktorgrad i fysikk fra NTNU og jobber med transport og samferdsel Er ivrig sportsfisker og reiser årlig til Kautokeino for fluefisking Høy hastegrad SAA Psykiatri Lavt volum komplekse forløp Øyvind blir observert i en unormal adferd midt i rundkjøringen ved Storo- Senteret. Forbipasserende kontakter politiet og ambulansepersonell kjører han til legevakten. På legevakten er han vanskelig å undersøke fordi han er ustelt, urolig og truende. Øyvind klarer ikke å redegjøre for egen sykdomshistorie og man mistenker rus. Antall estimat år 2035:

24 INFORMASJONSREISEN til ØYVIND Tjenestemottaker: Øyvind Unormal adferd i offentlig rom Før Mottak Under Etter Systemer AS-IS Ambulanse Blir kjørt av ambulanse Undersøkes av ambulansepersonell Akuttmottak Sykepleier tar i mot Øyvind og tilkaller vekter Registrering Vekter Sykepleier (triage) Hygieniske tiltak Triagering Rusobservasjonsrom Lege Venter Medisinsk vurdering Kveld/helg: Psykiatrisk legevakt (OUS) Psykiater Venter Samtale og medisinsk vurdering Observasjonspost Sykepleier og lege Observeres over natten SAA Samtale med psykososialt team Kartlegging av livssituasjon Ledsagertjeneste til Ruspolikl. Ruspoliklinikk Mottakssamtale 26

25 INFORMASJONSREISEN til ØYVIND AS-IS Tjenestemottaker: Øyvind Ambulanse Akuttmottak Unormal adferd i offentlig rom Blir kjørt av ambulanse Før Undersøkes av ambulansepersonell Sykepleier tar i mot Øyvind og tilkaller vekter H13 Farevurdering Mottak RPE7 Pasientopplysning H3 Symptomer/tegn Registrering Under RPE7 Pasientopplysning H3 Symptomer/tegn H5 Legemiddelliste H7 Viktig opplysning H9 Aktuelt helseproblem H11 Medisinsk bakgrunn? H15 Rus (inntatte rusmidler, tidligere rusbruk) H16 Psykiatrisk bakgrunn H17 Selvmordsforsøk (tidligere) H12 Risiko H13 Farevurdering PF9 Fargekode PF2 Avtalebok/Arbeidsliste (team 1/team2) Etter Ø2 Regning/faktura H18 Legenotat Systemer AMIS AMK Profdoc Vekter Sykepleier (triage) Rusobservasjonsrom Lege Kveld/helg: Psykiatrisk legevakt (OUS) Psykiater Observasjonspost Sykepleier og lege Hygieniske tiltak Triagering Venter Medisinsk vurdering Venter L1 Bestilling (melde pasient) H9 Aktuelt helseproblem H15 Rus (inntatte rusmidler, tidligere rusbruk) H16 Psykiatrisk bakgrunn H17 Selvmordsforsøk (tidligere) H12 Risiko H3 Symptomer/tegn Samtale og medisinsk vurdering Observeres over natten L1 Bestilling (melde pasient) H9 Aktuelt helseproblem H15 Rus (inntatte rusmidler, tidligere rusbruk) H16 Psykiatrisk bakgrunn H17 Selvmordsforsøk (tidligere) H12 Risiko H3 Symptomer/tegn L1 Bestilling (melde pasient)? H18 Legenotat? Profdoc eresept Kjernejournal Profdoc eresept Kjernejournal Profdoc eresept Kjernejournal Profdoc eresept Kjernejournal SAA Samtale med psykososialt team Kartlegging av livssituasjon Ledsagertjeneste til Ruspolikl. Profdoc Ruspoliklinikk PF1 Henvisning H18 Legenotat Mottakssamtale 27

26 Anbefalinger o Økt fokus på virksomhetsarkitektur og tjenestedesign i foretakene o Fagnettverk: Skaff anbefalinger om metodeverk o Ha økonomiske insentivmodeller som fremmer sikkerhet og personvern o Bruk GDPR som en mulighet til modernisering, og dermed samhandling. Photo: Ben White on Unsplash

27 Bli med i OSLO GDPRmeetup!

28 Eva Jarbekk og jeg Holder GDPR-kurs hos Bouvet personvern-og-gdpr

29 Takk til.. o Eva Jarbekk o Preben Gustavsen o Benita Haftorn Hildonen o Rune Schumann o Torgeir Waterhouse o Trude Hole o Jens Lien o Oslo Kommune Photo: Leonardo Wong on Unsplash

30 Takk for Video: Compressorhead (