Kansalliset auditointivaatimukset potilastietojärjestelmille (= hteinen vaatimus kaikille KanTa-palveluille, R= vaatimus koskee sähköistä lääkemääräystä, A = Vaatimus koskee potilastiedon arkistoa) Versioon 2.0 on käsitteet resepti ja reseptikeskus muutettu asiakirjoiksi ja kansallisiksi palveluiksi. Auditoinnissa voidaan rajoittua käyttöönotettaviin palveluihin (sähköinen resepti/arkisto) 1 Luottamuksellisuus ja eheys Tiedonsiirron luottamuksellisuus ja eheys KanTapalveluihin on turvattu Sähköisen lääkemääräyksen, potilasasiakirjojen ja niihin liittyvien luottamuksellisten tietojen siirtäminen kansallisiin palveluihin tai niistä muualle on salattu (vähintään esim. SSL 3.0/TLS 1.0) ja sähköisesti allekirjoitettu. Tarkastetaan järjestelmäkuvaukset, kuvaukset salauksesta, allekirjoituksesta ja avainten/sertifikaattien käsittelystä järjestelmässä. 2 Tietoliikenteen salaus ja tietojen luottamuksellisuus Sivulliset eivät saa saada selville suojattuja tietoja eivätkä tiedot saa muuttua tiedonsiirron aikana. Asiakirjojen, sähköisten lääkemääräyksien ja potilaalle välitettävien viestien luottamuksellisuus (se etteivät ne voi joutua sellaisten tahojen tietoon, jolle ne eivät säädösten mukaan tai muutoin kuulu) tulee turvata kaikessa toimintayksiköiden, ammatinharjoittajien, reseptitietokannan, KanTapalvelun ja potilaan/kansalaisen välisessä tiedonvaihdossa. Tieto siitä, että potilas/kansalainen on asioinut terveydenhuollon toimintayksikön, ammatinharjoittajan, apteekin, reseptikeskuksen, valtakunnallisen potilastiedon arkiston tai muiden KanTa-palvelujen kanssa ei saa joutua sivullisten Viestit ja dokumentit voidaan välittää salaamattomana käytettäessä point-point VPN- yhteyksiä tai sovellutus-ohjelmien välistä SSL/TLS-yhteyttä. Muuten viestit tulee salata luotettavalla tekniikalla (muita ovat mm. SSH ja IPsec. myöhemmin on tulossa mahdollisesti WS-Security Encryption) Tällä hetkellä Kela tukee SSL 3.0 ja TLS 1.0- tekniikoita. Vaatimus voidaan toteuttaa myös erillisellä palvelulla, mutta tällöin tietoliikenne potilastietojärjestelmän ja Kansalliset auditointivaatimukset potilastietojärjestelmille 1
3 Sähköinen allekirjoitus Sähköisestä lääkemääräyksestä ja lääkintölaillisista lausunnoista tulee luotettavasti käydä ilmi sen määrääjä tai allekirjoittaja käsiin. Potilastietojärjestelmän ja Kanta-palvelujen välisen viestinnän luottamuksellisuus tulee taata vähintään SSL 3.0-tasoisella salaustekniikalla. (vaatimus 1). Sähköiset lääkemääräykset, näiden mitätöinnit ja korjaukset on allekirjoitettava lääkkeen määrääjän henkilökohtaisella, kehittyneellä sähköisellä allekirjoituksella. Varmenteena on käytettävä terveydenhuollon ammattivarmennetta. Sähköisessä muodossa olevissa lääkintölaillisissa lausunnoissa ja todistuksissa sekä vastaavissa asiakirjoissa tulee olla asiakirjan laatijan allekirjoitus joka on kehittynyt sähköinen allekirjoitus (PKI-toteutukseen perustuva allekirjoitus). Allekirjoituksen voi toteuttaa niin, että allekirjoittajan voi allekirjoittaa sähköisesti yhdellä kerralla kaikki saman potilaan samalla kerralla määrätyt lääkemääräykset. salauspalvelun välillä on turvattava muuten. Varmennetaan, että järjestelmässä on toiminnallisuus, joka tarjoaa käyttäjälle kehittyneen sähköisen allekirjoituksen sähköisiin lääkemääräyksiin ja asiakirjoihin sekä niiden korjauksiin käyttäen terveydenhuollon ammattivarmennetta. Järjestelmän tulee vaatia allekirjoitusta ennen kuin lääkemääräys tai sen muutos hyväksytään. Järjestelmässä voi olla saman potilaan kaikkien samalla kerralla toimitettujen lääkemääräysten allekirjoittamisen mahdollistava toiminnallisuus. Muutos 20.1.11: Poistettu vaatimus moniallekirjoituksesta ja muutettu se mahdollisuudeksi. 6.9. hdistetty lääkintölailliset asiakirjat. Kansalliset auditointivaatimukset potilastietojärjestelmille 2
4 A Asiakirjan muuttumattomuus tulee pystyä varmistamaan Asiakirjojen muuttumattomuus tulee varmistaa sähköisellä allekirjoituksella. Muuttumattomuus on varmistettava sekä paikallisessa tallennuksessa että tiedonsiirrossa. Sähköiset potilasasiakirjat tulee allekirjoittaa organisaation tai tietoteknisen laitteen tekemällä kehittynyttä sähköistä allekirjoitusta vastaavalla allekirjoituksella, ns. järjestelmäallekirjoituksella. Järjestelmän tulee liittää asiakirjaan tietosisältöä vastaavat kuvailutiedot. Asiakirja (sen bodyosio) allekirjoitetaan muuttumattomuuden takaamiseksi. Asiakirja ei saa sisältää asiakirjaa tai sen ulkoasua muuttavia elementtejä (esim. makrot). Asiakirjan muodostamisesta tehdään lokimerkintä. Potilaskertomusta voidaan kerätä ja käsitellä järjestelmässä myös muussa kuin asiakirjamuodossa. Tällaisen potilaskertomuksen muuttumattomuus tulee taata ja muunnos asiakirjaksi tulee olla luotettava. Tarkastetaan järjestelmädokumentaatiosta, että asiakirja tulee allekirjoittaa. Tarkastetaan, että järjestelmä tukee allekirjoittamista. Tarkastetaan, että allekirjoitetun asiakirjan sisältö on yhtenevä sen kanssa, mitä merkinnän tekijä on nähnyt. Tarkastetaan, että lähetetty asiakirja on sekä sisällön että metatietojen osalta yhteneväinen vastaanotetun kanssa. Tarkastetaan miten muussa kuin asiakirjamuodossa olevien tietojen muuttumattomuus on varmistettu. Muuttumattomuus tulee taata siten, että asiakirjaa tai muussa muodossa tallennettua tietosisältöä ei voi muuttaa käyttöliittymän kautta. Muutokset tulee toteuttaa erillisen versiointi- ja/tai korjausprosessin kautta. Muutos 20.1.11: Siirretty arkistoon liittyvä vaatimus (40) oikealle kohdalleen ja yhdistetty toisiin asiaan liittyviin vaatimukseen (41, 42). Poistettu maininta aikaleimasta 6.9. siirretty lääkintälailliset asiakirjat edelliseen vaatimukseen. Lisätty ei-asiakirjamuodossa olevat tiedot. 20.3.2013: Poistettu vaatimus kuvailutietojen allekirjoittamisesta. Asiakirjan kuvailutietoja ei allekirjoiteta, koska niitä pitää kyetä muuttamaan KanTa:ssa. Kansalliset auditointivaatimukset potilastietojärjestelmille 3
5 Sähköisen viestinnän molemmat osapuolet tulee tunnistaa hteyden osapuolten ja laitteiden tunnistaminen Apteekit, palveluntuottajat ja käyttäjäorganisaatiot sekä niiden ko. palveluun liittyvät palvelimet tulee luotettavasti tunnistaa muodostettaessa yhteyttä KanTa-palveluun ennen sähköisen yhteyden aloittamista. Järjestelmän toteutuksen ja käytettävän alustan tulee tukea mahdollisuutta, että sanomat siirretään salattua https-protokollaa käyttäen "two-way SSL" -tavalla, eli SSL-yhteyden asiakas ja palvelin esittävät toisilleen sertifikaatit, joilla kummankin identiteetti varmennetaan ennen varsinaisen yhteyden muodostamista. Myös TLS toteutus on hyväksyttävä. Tarkastetaan, että järjestelmät on toteutettu niin, että sekä palvelin että asiakaspää tunnistetaan luotettavasti. Varmistetaan, että järjestelmällä on mahdollista muodostaa toimiva two-way SSL (tai TLS) https-yhteyden kansalliseen palveluun sanomien välittämistä varten tai että sieltä on toimiva salattu yhteys järjestelmiin. Tarkastetaan sertifikaattien avainten bittimäärä ja algoritmi salauksen vahvuuden toteamiseksi. Varmistetaan, että myös asiakaspää (client) tunnistetaan. Muutos 20.2.11.: Muutettu resepti ja reseptikeskus yleisempään muotoon. hdistetty aikaisempi vaatimus 10. 20.3.2013: Täsmennys organisaation ja ptj:n vastuisiin: organisaation varmistettava, että sen käyttämästä järjestelmästä sanomat siirretään https-protokollaa käyttäen.. 20.3.2013 Siirretty org. vaatimuksiin Tarkastetaan toimintayksiköiden varmennepolitiikat ja käyttösopimukset. 6 Käyttäjän tunnistaminen Tietojärjestelmän käyttäjä tulee tunnistaa siten, että käyttäjä todennetaan yksiselitteisesti. Tunnistamisessa tulee käyttää terveydenhuollon varmennepalvelua ja varmenteita. Erityistilanteissa voi käyttää käyttäjätunnusta ja vahvaa salasanaa. Järjestelmässä ei saa olla ylläpito- tai muita vastaavia oikeuksia ja toiminnallisuuksia, joiden avulla järjestelmän käyttö ilman käyttäjän yksiselitteistä tunnistamista ei olisi mahdollista. Tarkistetaan kuvaukset, miten järjestelmään tunnistaudutaan. Tarkastetaan kuvaukset roolien, käyttäjätietojen ja käyttöoikeuksien hallinnan periaatteista. Testataan tunnistamista sähköisellä varmennekortilla. 6.9. vaihdettu järjestystä. 20.3.2013: Lisätty org. vaatimuksiin vaatimus koskien toimintayksikön käyttäjien tunnistautumistapoja sekä vaatimus koskien yhteiskäyttöisiä tunnuksia. Toimintayksiköllä tai organisaatiolla tulee olla käytössä joko erillinen käyttäjätietojen ja käyttöoikeuksien hallintajärjestelmä (IAM) joka hyödyntää tunnistetietoja tai se voi olla toteutettuna itse järjestelmään. Kansalliset auditointivaatimukset potilastietojärjestelmille 4
Hallintajärjestelmän tulee olla roolipohjainen. 7 8 Tunnistautuminen järjestelmiin Sulkulistan tarkastus ja päivitys Tietojärjestelmiin tulee tuotantoympäristöissä sallia kirjautuminen ainoastaan vahvaa tunnistusmekanismia käyttäen tai vahvaa salasanaa käyttäen. Muuta kuin toimikorttikirjautumista käytettäessä voi käyttää ainoastaan organisaation omassa potilastietojärjestelmässä olevia tietoja. Mikäli järjestelmän käyttäjillä on käytössä salasanat, tulee niiden määritysten olla erittäin vahvat ja vaihto säännöllistä. Vahvan salasanan parametrit: Minimipituus 8 merkkiä, vaaditaan kompleksista salasanaa (erikoismerkkejä, numeroita ja isoja/pieniä kirjaimia), salasanahistoria min. 12 edellistä salasanaa, salasanan maksimi-ikä 40pv, minimi-ikä 1pv, väärien kirjautumisyritysten maksimimäärä 5 yritystä, jonka jälkeen tunnus lukkiutuu eikä avaudu automaattisesti. Vanhenemisvaatimukset eivät koske teknisten tunnusten salasanoja. Varmenteiden voimassaolo (sulkulista) on tarkastettava Valvira:n tai VRK:n tiedoista. Lisäksi henkilöiden sulkulistatiedot on päivitettävä Valvira:n tai VRK:n varmennepolitiikan mukaisesti. Tarkastetaan autentikointimekanismit; joko vahva tunnistautuminen (toimikortti) tai vahva salasana. Tarkastetaan salasanaparametrit järjestelmästä. Tarkastetaan, että järjestelmä tarkistaa henkilöiden varmenteiden voimassaolon. Tarkastetaan, että järjestelmän tulee vaatia sulkulistatietojen päivittämistä vähintään kerran vuorokaudessa (tai kulloinkin voimassa olevan Valviran tai VRK:n varmennepolitiikan mukaisesti). 6.9. Lisätty aikaisemmin omana vaatimuksena olleet salasanat. Täsmennetty, mitä tietoja salasanalla tunnistautuessa voi käsitellä. Lisätty org. vaatimuksiin, että tarkistetaan tuotantoympäristön salasanaparametrit. Muutos 25.1.11: Poistettu viittaus reseptien kirjoittamiseen. Poistettu maininta siitä, että kun oikeudet ilmenevät varmenteesta niitä ei tarvitse erikseen tarkastaa Kansalliset auditointivaatimukset potilastietojärjestelmille 5
9 R Ammattioikeuteen liittyvien rajoitusten tarkistaminen Valvira:n rajoitustietojen mukaiset ammattihenkilön ammattioikeuden rajoitukset tarkastetaan aina käyttäjää tunnistettaessa (sisäänkirjautuessa) eikä niitä tallenneta pysyvästi käyttöoikeustietoihin. Valvira:n rajoitustiedot tarkastetaan Valvira:n ylläpitämästä sanomapohjaisesta attribuuttipalvelusta. Jos ammattioikeuksissa on rajoituksia, niin järjestelmä ei saa sallia kirjautuneen käyttäjän tehdä sellaisia toimia, jotka on rajattu oikeuksien ulkopuolelle. Tarkastetaan, että käyttäjän kirjautuessa Valviralta tarkastetaan, onko ko. käyttäjällä ammatillisia rajoituksia (esim. ei oikeutta kirjoittaa lääkemääräyksiä) -> Verkkoliikenteen analysointi kirjautuessa tai muu todennustapa. Siirretty vanha no 19 tähän. Lisätty mitätöinti lääkkeenmääräämisoikeuksien rajoituksiin 10 Käyttövaltuushallinta Käyttövaltuushallinta (Käyttäjän oikeuksien asettaminen) Jos lääkemääräyksen kirjoitusoikeuden omaavan terveydenhuollon ammattihenkilön oikeutta määrätä lääkettä on rajoitettu tietyn lääkevalmisteen osalta, järjestelmä ei saa salli hänen kirjoittaa, korjata, lisätä, mitätöidä (tai purkaa lukitusta) sellaisia lääkemääräyksiä, joissa määrätään kyseistä lääkevalmistetta. Terveydenhuollon tietojärjestelmän tulee hallinnoida käyttäjiensä oikeuksia käyttää sähköiseen lääkemääräykseen ja sähköisiin asiakirjoihin liittyviä toimintoja ja tietoja. Toisin sanoen järjestelmässä itsessään tulee olla mahdollisuus hallita käyttöoikeuksia näiden vaatimusten edellyttämällä tavalla, tai vaatimukset tulee toteuttaa ulkoisen järjestelmän, esimerkiksi käyttöoikeuksien hallintajärjestelmän IAM:n avulla. Tarkastetaan, että järjestelmässä on sellaiset ominaisuudet, joiden avulla voidaan toteuttaa hyvä käyttöoikeuksien hallinta (roolit, vanhojen oikeuksien poisto/lukitus, voimassa olon hallinta jne.). Tarkastetaan järjestelmästä että sinne voidaan määritellä erilaisia käyttöoikeuksia/rooleja. 27.2.2013: Lisätty korjaus, mitätöinti, lisäys ja lukituksen purku Kansalliset auditointivaatimukset potilastietojärjestelmille 6
11 Käyttövaltuushallinta Terveydenhuollon tietojärjestelmästä tehtäviin toimiin (tietojen katselu, tallentaminen ja muu käsittely) on annettava oikeudet ainoastaan laissa mainituille ammattihenkilöille tai muille määrätyille ryhmille. Vain ne henkilöt, joilla on oikeus työtehtäviensä johdosta laatia potilasasiakirjoja, käsitellä suostumuksia ja kieltoja tai allekirjoittaa asiakirjoja voivat käyttää ko. toimintoja. Järjestelmässä tulee olla poikkeustilanteiden hallinnan edellyttämät toiminnot, joilla käyttöoikeus voidaan tilapäisesti ohittaa (tarkoittaa, että joku toimenpide voidaan tehdä esimerkiksi pääkäyttäjän oikeuksin, vaikka ko. toimenpide ei kuulu pääkäyttäjän työtehtäviin). Tekijä ja tehty toimenpide tulee silti luotettavasti yksilöidä ja kirjata). Ohitustilanteet tulee merkitä automaattisesti erilliseen luetteloon, jonka käsittelystä tulee olla ohjeet tietoturvapolitiikassa. Tarkastetaan, että järjestelmä mahdollistaa toimien (tietojen katselu, tallentaminen ja muu käsittely) rajaamisen mainituille käyttäjäryhmille. Testataan käyttöoikeuksia todellisessa tilanteessa. Tarkastetaan lokeihin syntyvät merkinnät. Tarkastetaan käyttöoikeuksien ohitustilanteiden kuvaukset tietoturvapolitiikasta. Muutos 25.1.11: Poistettu viittauksen sähköisiin lääkemääräyksiin/reseptikeskukseen. Tarkistettu, että org. vaatimuksiin sisältyy kohta Varmistetaan, että oikeudet/roolit tehdä kyselyjä on määritelty vain mainituille ammattihenkilöille/ryhmille. poistettu tästä 20.3.2013 Poistettu: Testataan käyttöoikeuksien ohitustilanteet ja niistä syntyvät lokimerkinnät. Tietojärjestelmäasiantuntijoilla joutuvat tietyissä tilanteissa tehtävänsä mukaisesti varmistamaan potilastietojärjestelmän toimivuutta ja tekemään virheselvityksiä. Tämä ei kuitenkaan ole normaalitilanne eikä tällaisia oikeuksia saa oletusarvoisesti olla. Tarkastetaan tietojärjestelmäasiantuntijoiden oikeudet potilastietojärjestelmään ja KanTapalveluihin. 20.3.2013: Lisätty org. vaatimuksiin tietojärjestelmäasiantuntijoiden käyttöoikeutta koskeva vaatimus Tietojärjestelmäasiantuntijoilla ei ole oikeutta KanTa-palveluissa olevien tietojen käsittelyyn. Kansalliset auditointivaatimukset potilastietojärjestelmille 7 Asiakirjojen korjaaminen tapahtuu potilastietojärjestelmässä, joka toimittaa korjatun ja versioidun
asiakirjan KanTaan 12 R Käyttäjän sähköisiin lääkemääräyksiin liittyvien oikeuksien hallinta ja lääkemääräysten tarkasteluoikeus Reseptikeskuksessa olevien tietojen katselu, tallettaminen ja muu käsittely edellyttää asianmukaisia käyttöoikeuksia ja järjestelmään liittyvää käyttöoikeuksien hallintaa Lääkkeen määrääjällä on hoitosuhteen jatkuessa salassapitosäännösten estämättä ja ilman potilaan suostumusta oikeus saada tieto reseptikeskukseen tallettamistaan lääkemääräyksistä ja niiden toimitustiedoista. (1) Lääkärit ja hammaslääkärit ja muut laissa mainitut terveydenhuollon ammattihenkilöt voivat nähdä muiden antamat sähköiset lääkemääräykset ja niiden toimitustiedot potilaan tai hänen laillisen edustajansa antamalla suullisella suostumuksella (edellyttäen hoitosuhdetta). (Myös hoitotilanteessa lääkemääräystä kirjoitettaessa.) Lääkärillä, hammaslääkärillä ja muilla laissa mainituilla terveydenhuollon ammattihenkilöillä on salassapitosäännösten estämättä oikeus saada tietoja reseptikeskukseen tallennetuista lääkemääräyksistä ja toimitustiedoista ilman potilaan suostumusta lain säätämissä tilanteissa, jos se on tarpeen kiireellisen hoidon antamiseksi. Kansalliset auditointivaatimukset potilastietojärjestelmille 8 Tarkastetaan, että reseptikeskuksessa olevien tietojen katselu, tallettaminen ja muu käsittely ei ole mahdollista ilman käyttöoikeuksia ja että niissä sovelluksissa, joilla käsittelyä tehdään, on asianmukainen käyttöoikeuksien hallinta Vaatimus koskee myös lääkärin toisessa yksikössä tai työterveyshuollossa kirjoittamia lääkemääräyksiä. Laki ei edellytä hoitosuhteen olemassaolon teknistä varmistamista, mutta järjestelmässä pitää olla valmius tähän. (1) Lääkäri joutuu kuitenkin hakiessaan tietoja reseptikeskuksesta antamaan ns. kyselyn syy -tiedon ja tiedon potilaan antamasta suostumuksesta. (Kela tarkennuksia, ei lähdemateriaalissa) Tarkastetaan, että lääkärin tai hammaslääkärin oikeuksilla voi nähdä muiden antamat lääkemääräykset. Tarkastetaan, onko järjestelmässä kohta, johon lääkäri voisi merkitä suullisen 6.9. hdistelty reseptikeskukseen liittyviä ammattihenkilöiden oikeuksia.
Lääkemääräyksien tarkasteluoikeus säilyy vaikka lääkäri, hammaslääkäri tai muu lain mainitsema terveydenhuollon ammattihenkilö, jolla on oikeus lääkemääräysten kirjoittamiseen, on menettänyt lääkemääräysten kirjoitus- oikeuden, jos muut katselun edellytykset täyttyvät. Muulla terveydenhuollon henkilökunnalla kuin lääkäreillä, hammaslääkäreillä, lääketieteen ja hammaslääketieteen opiskelijoilla sekä sairaanhoitajilla, ei ole oikeuksia reseptikeskukseen. Tämä kriteeri tullee muuttumaan lainsäädännön uudistuessa. hyväksynnän olemassaolon. Tarkastetaan, onko järjestelmässä kohta, johon lääkäri voisi merkitä kiireellisen tarpeen olemassaolon. Tarkastetaan voidaanko järjestelmässä erotella lääkemääräysoikeuden ja lääkemääräyksien tarkasteluoikeuden. Tarkastetaan, että roolit voidaan määritellä vastaavasti ja, että muilla kuin mainituilla rooleilla: (Lääkäri, hammaslääkäri ja lääketieteen, hammaslääketieteen opiskelija ja sairaanhoitajat) ei ole oikeuksia reseptikeskukseen. Lisätty täsmennys tietojärjestelmäasiantuntijoiden oikeuksista KanTa-palveluissa oleviin tietoihin 13 Opiskelijoiden oikeudet Terveydenhuollon ammattihenkilölaissa ja - asetuksessa säädetyt opinnot suorittaneilla lääketieteen ja hammaslääketieteen opiskelijoilla on oikeus kirjoittaa sähköisiä lääkemääräyksiä toimiessaan tilapäisesti lääkärin tehtävissä julkisen tai yksityisen terveydenhuollon organisaatiossa. Valvira rekisteröi opiskelijat terveydenhuollon ammattihenkilö-rekisteriin, ja heillä on käytössä samat välineet vahvaan tunnistamiseen ja henkilökohtaiseen, kehittyneeseen sähköiseen allekirjoitukseen kuin lääkäreillä. Tarkastetaan, että opiskelijoiden oikeuksilla voi tehdä sähköisiä lääkemääräyksiä. Ei kuitenkaan heille itselleen. 20.3.2013: Potilasasiakirjaasetuksen 6 mukainen oikeus tehdä potilaskertomusmerkintöjä on opiskelijalla hänen toimiessaan laillistetun ammattihenkilön tehtävässä. Tällöin käyttöoikeuksiin merkitään ammattihenkilön rooli, ja näitä merkintöjä ei tarvitse tarkastaa. Jos opiskelija toimii opiskelijan roolin, esim. harjoittelujakso, tulee hänellä olla opiskelijan rooli Kansalliset auditointivaatimukset potilastietojärjestelmille 9
14 R 15 R Lukuoikeus reseptikeskukseen uusimistilanteessa Lääkemääräyksen uudistaminen Opiskelijoilla (lääketieteen ja hammaslääketieteen) ei ole oikeuksia määrätä lääkkeitä itselleen. Opiskelijat voivat tehdä potilaskertomusmerkintöjä. Potilastietojärjestelmässä tulee olla toiminto, jolla opiskelijoiden tekemät merkinnät hyväksytään. Terveydenhuollon toimintayksikön siihen oikeuttamilla henkilöillä on reseptikeskuksesta saapuneiden, organisaatiolle kohdistettujen reseptien uusimispyyntöjen lukuoikeus terveydenhuollon tietojärjestelmästä. Terveydenhuollon toimintayksikössä uusimispyynnöt voi vastaanottaa toimintayksikön tehtävään valitsema henkilö, joka voi olla muukin kuin lääkkeen määräämiseen oikeutettu henkilö. Järjestelmä mahdollistaa sen, että sähköisen lääkemääräyksen voi uudistaa 16 kuukauden kuluessa alkuperäisen lääkemääräyksen antamisesta käyttämällä pohjana uudistettavan lääkemääräyksen tietoja. Tarkastetaan, että opiskelijoiden tekemien merkintöjen hyväksymiseen on toiminto. Jos uusimispyyntöjä voi vastaanottaa muukin kuin lääkkeen määräämiseen oikeutettu henkilö, tarkastetaan, että järjestelmään voidaan määritellä sellainen rooli (oikeudet ko. toimintoihin), jolla voi lukea reseptikeskuksesta saapuneita, organisaatiolle kohdistettujen reseptien uusimispyyntöjä. Tarkastetaan järjestelmädokumentaatiosta tai muuten, että järjestelmä mahdollistaa uusimispyynnön tekemisen uudistettavan lääkemääräyksen pohjalta 16 kuukauden kuluessa alkuperäisen lääkemääräyksen antamisesta. käyttöoikeuksissa ja nämä merkinnät tulee terveydenhuollon ammattihenkilön hyväksyä erikseen. 16 Valvonta ja lokitus Lokitietojen muuttumattomuus Lokitietojen muuttumattomuus tulee varmistaa. Lisäohjeistus: Vahti 3/2009. Testataan lääkemääräyksen uusimista alkuperäisen määräyksen pohjalta. Tarkastetaan miten järjestelmän lokiympäristö on toteutettu. Kansalliset auditointivaatimukset potilastietojärjestelmille 10
17 Käyttöloki Tietojärjestelmä ylläpitää käyttölokia, josta löytyy riittävän yksityiskohtaiset tiedot tietojen haun ja käytön osalta (esim. tilanteissa, joissa järjestelmä hakee reseptikeskuksesta tai arkistosta enemmän tietoa kuin mitä käyttäjälle näytetään perusjärjestelmän suodattaessa tietoja). Tarkastetaan järjestelmän lokiasetukset ja määritysmahdollisuudet ja käydään läpi otos lokitiedoista. Varmistetaan joko järjestelmän tuottamasta lokitiedosta tai dokumentaatiosta, että vaatimukset täyttyvät. 18 19 Lokien seurantaväline Viestinnän kirjanpito Tietojen käsittely Riittävillä lokitiedoilla tarkoitetaan lokia, joka sisältää vähintään tiedot siitä: - kuka järjestelmään on ollut kirjautuneena ja mitä toimia hän on järjestelmässä tehnyt - mitä tietoja kyseiselle käyttäjälle on näytetty (jos osa haetuista tiedoista suodatetaan järjestelmän toimesta) - milloin järjestelmässä on mitäkin toimia tehty - millaisia toimia, johon oikeudet eivät ole riittäneet, on yritetty tehdä. Tietojärjestelmässä on väline lokitietojen seuraamiseen. Lokit on pystyttävä hakemaan saataville säännöllistä seurantaa ja valvontaa varten. Reseptikeskuksen ja KanTa-palvelun sekä niiden asiakkaiden välisestä viestinnästä on pidettävä lokia siten, että tässä esitetyt muut lokeihin liittyvät vaatimukset toteutuvat. Lokia tulee pitää yhteyden molemmissa päissä, eli reseptikeskuksessa ja potilastietojärjestelmien päässä. Tarkastetaan että järjestelmässä on väline lokitietojen seuraamiseen ja valvontaan. Tarkastetaan, että lokia kirjataan yhteyksien muodostamisesta. Tarkastetaan muiden lokeihin liittyvien vaatimusten tarkastamisen yhteydessä. Kansalliset auditointivaatimukset potilastietojärjestelmille 11
20 Haettujen tietojen säilytys Reseptikeskuksesta haettuja lääkemääräyksiä ja näiden lääketoimituksia ei saa pysyvästi erikseen määriteltyjä poikkeuksia lukuun ottamatta tallentaa terveydenhuollon tietojärjestelmään. Väliaikaisesti tallennetut tiedot tulee poistaa välittömästi käytön jälkeen, kun niitä ei enää tarvita. Järjestelmään voi kuitenkin tallentaa sellaiset väliaikaisesti käsitellyt tiedot, jotka ovat välttämättömiä lokeille asetettujen vaatimusten täyttämiseksi (sähköisten lääkemääräysten tunnisteet ja versionumerot sekä potilaskertomusjärjestelmällä luotujen lääkemääräysten uudet versiot ja mitätöintitiedot, mikäli nämä on tehty muulla potilaskertomusjärjestelmällä tai apteekin tietojärjestelmällä). T/K: Järjestelmä ei talleta lääkemääräyksiä tai niiden toimituksia pysyvästi, pl. mainitut poikkeukset. Tarkastetaan, että järjestelmässä on toiminto arkistosta ladattujen tietojen poistamiseksi. Toiminnan tulisi mieluiten olla automaattinen ja liittyä palvelutapahtuman päättymiseen. Sähköisestä arkistosta haetut tiedot voidaan tallettaa paikalliseen järjestelmään siksi ajaksi kun potilaalla on hoitosuhde ao. yksikköön. Tiedot voidaan säilyttää yhtenä asiakirjana tai purkaa paikallisen järjestelmän käyttämään muotoon. Hoitosuhteen päättyessä tiedot on voitava poistaa niiden paikallisesta tallennustavasta riippumatta. Lääkärin tai muun lain mainitseman terveydenhuollon ammattihenkilön tulee voida kirjoittaa terveydenhuollon tietojärjestelmään omat havainnot toisessa organisaatiossa kirjoitetuista lääkemääräyksistä, apteekin toimituksista ja potilasasiakirjoista. Kansalliset auditointivaatimukset potilastietojärjestelmille 12
21 22 Muut pakolliset vaatimukset Teknisen yhteistestauksen läpäisy Istunnon katkaisu Järjestelmän tulee olla testattu ja hyväksytty yhteistestauksen (tai myöhemmin muun vastaavan sisältöisen teknisen testauksen) testaussuunnitelman ja hyväksymiskriteerien mukaan. Potilastietojärjestelmän on mahdollistettava kertomusjärjestelmän käyttöliittymän lukittuminen, kun käyttäjä ei käytä sitä aktiivisesti 30 minuutin kuluessa, jolloin 30 minuutin jälkeen pitää antaa PIN uudelleen. Tarkastetaan, että järjestelmä on osallistunut yhteistestaukseen Tarkastetaan teknisen yhteistestauksen tulokset ja niiden läpäisy. Testaus voidaan kohdentaa myös yksittäiseen KanTa-palveluun. Tarkastetaan, että kertomusjärjestelmän käyttöliittymä voidaan lukita tai yhteys katkaistaan, mikäli käyttäjä ei käytä sitä aktiivisesti 30 minuutin sisällä. Muutos: lisätty testauksen kohdentaminen yksittäiseen palveluun. 20.3.2013: Lisätään organisaatiovaatimuksiin: Huolehdittava, että kertomusjärjestelmän käyttöliittymän lukitus tai työasemakohtainen lukitus käytössä Kansalliset auditointivaatimukset potilastietojärjestelmille 13
23 Syötteen tarkastus Järjestelmän tulee tarkastaa ennen tietojen hakua, että lääkärin syöttämät potilaan yksilöintitiedot ja mahdollinen lääkemääräyksen tunnus ovat oikeassa muodossa. Tarkastetaan, että järjestelmässä on syötteen tarkastus, joka tarkastaan esimerkiksi henkilötunnuksen oikean muodon tai lääkemääräyksen yksilöintitiedoin oikean muodon. Jatkossa henkilötunnus voi olla muu kuin suomalainen (esim. epsosin myötä) 24 Potilaan informointi Järjestelmässä on oltava mahdollisuus tehdä potilastiedon arkistoa ja alueellista yhteisrekisteriä koskeva informointi. Järjestelmän tulee tarkistaa tiedonhallintapalvelusta, onko informointia vielä annettu. Jos ei ole, ilmoitettava käyttäjälle informointitarpeesta. Annetusta informoinnista tulee tehdä merkintä potilaskertomukseen ja viedä tiedonhallintapalveluun. Testataan, että hakua ei voi tehdä tiedoilla, jotka eivät ole muodoltaan oikeita T: Potilaskertomusjärjestelmästä on nähtävissä, että potilasta on informoitu, riippumatta siitä onko informaatiotieto tuotettu automaattisesti. Siirretty org.vaatimuksiin informointien toteutusta ja toimintamallin määrittelyä koskevat vaatimukset. Sähköisestä lääkemääräyksestä informoinnista tehdään merkintä potilaskertomukseen. 25 Potilaan suostumuksien ja kieltojen dokumentointi Uusittaessa sähköistä lääkemääräystä katsotaan potilaan olevan tietoinen sähköisestä lääkemääräyksestä ja siihen liittyvistä oikeuksistaan. Sähköisen arkiston osalta potilaan katsotaan ensimmäisen informoinnin jälkeen olevan tietoinen arkiston käytöstä. Tieto potilaan tai hänen laillisen edustajan antamasta suostumuksesta, informoinnista, kielloista ja muista tahdonilmauksista lähetetään Tarkastetaan, että järjestelmässä on ominaisuus, jonka avulla on mahdollista dokumentoida potilaan antamat Lisätty valtakunnallista arkistoa ja sairaanhoitopiirin yhteisrekisteriä koskevat täsmennykset Kansalliset auditointivaatimukset potilastietojärjestelmille 14
26 Tietojen päivitys kansalliseen palveluun: valtakunnallista potilastiedon arkistoa koskevat em. asiakirjat tulee lähettää kansalliseen palveluun. Sairaanhoitopiirin yhteistä potilastiedon rekisteriä koskien potilastietojärjestelmään tallennetut informointi- ja kieltoasiakirjat voidaan lähettää kansalliseen palveluun. Lääketietokannan mukaiset tiedot lääkkeistä, korvattavista perusvoiteista, kliinisistä ravintovalmisteista ja määräaikaisista erityislupavalmisteista on päivitettävä lääkemääräys- ja toimitusohjelmistoihin Fimean ohjeiden mukaisesi. Kansallisesti ylläpidettävät perustiedot ja koodistot on päivitettävä THLn hakemistopalvelusta. suostumukset, kiellot ja informointi. Tarkastetaan, että järjestelmä mahdollistaa tietojen päivittämisen. Tarkastetaan, että tiedot päivitetään vaaditulla intervallilla. Tarkastetaan onko tähän olemassa toiminto järjestelmässä / automatisoitu prosessi tai muu määrämuotoinen tapa, joka varmistaa päivitysten ajantasaisuuden. Muita tahdonilmauksia ovat esim. hoitotahto ja elinluovutustahto. Lisäksi muita tahdonilmauksia voidaan määritellä myöhemmin esim. biopankkiin liittyvä suostumus 20.3.2013: Fimean ohjeissa määritellään lääketietokannan päivitysintervalli (2*kk v. 2013). Muille koodistoille ei ole vaadittua intervallia. 27 A Hoitosuhteen varmistaminen Arkistoon liittyvän järjestelmän tulee pystyä varmistamaan hoitosuhde ja todentaa se KanTa:n käyttöä varten palvelutapahtuma-asiakirjalla. Käyttäjäkohtainen potilashallinnon varmistus toteutetaan paikallisesti potilastietojärjestelmässä. Normaalisti varmistus tuotetaan automaattisesti järjestelmässä olevien tietojen (esim. ajanvaraus) perusteella. Jos hoitosuhdetta ei voida varmistaa teknisesti, annetaan erityinen syy tietojen käsittelylle. Tarkistetaan hoitosuhteen todentamisen/ potilashallinnon varmistuksen toteutus. Tarkistetaan hoitosuhteen varmistaminen palvelutapahtumalla KanTaluovutuksissa. 20.3.2013: Siirretty tähän kohtaan kaikki hoitosuhteen varmistamiseen liittyvät vaatimukset. Kansalliset auditointivaatimukset potilastietojärjestelmille 15
28 R 29 A Potilasohjeen vastaanottaminen ja tallentaminen Sosiaalihuollon rekisterien erottaminen ja Kantaan arkistoinnin estäminen Potilasohje voidaan tallentaa väliaikaisesti potilaskertomusjärjestelmään (mahdollisen tulostuksen epäonnistumisen varalta), mutta se on poistettava 12 tunnin kuluessa tulostuksesta, jonka jälkeen sitä ei enää saa tulostaa. Sosiaalihuollossa syntyviä ja sosiaalihuollon rekistereihin kuuluvia potilastietoja ei toistaiseksi arkistoida Kantaan, joten ko. rekisterit tulee voida erottaa terveydenhuollon rekistereistä ja estää tallentaminen Kantaan. Tarkastetaan, että potilasohjeet eivät tallennu pysyvästi ja että on olemassa manuaalinen tai automatisoitu toiminne, joka poistaa potilasohjeen viimeistään 12 tunnin kuluttua tulostuksesta. Jos toiminne on manuaalinen, tarkastetaan, että tähän on olemassa käyttäjille tarkoitettu ohje. Tarkastetaan, miten erottaminen ja tallentamisen estäminen Kantaan on toteutettu Uusi vaatimus Kansalliset auditointivaatimukset potilastietojärjestelmille 16