Alle tildelte autorisasjoner for tilgang skal registreres i et autorisasjonsregister.
Dette gjelder ikke bare for helsepersonell, men også annet personell med tilgang til helse- og personopplysninger, som for eksempel teknisk personell. Det er virksomheten som skal sørge for at det opprettes et autorisasjonsregister. Registeret skal sikres mot uautorisert endring og sletting.
Autorisasjonsregisteret skal som minimum inneholde:
- informasjon om hvem som er tildelt autorisasjon (entydig identifikator, men helst ikke direkte bruk av fødselsnummer)
- informasjon om til hvilken rolle autorisasjonen er tildelt (om roller benyttes i virksomheten)
- formålet med autorisasjonen
- tidspunkt for når autorisasjonen ble gitt og eventuelt tilbakekalt
- informasjon om hvilken virksomhet den autoriserte er knyttet til
- helsepersonells autorisasjon for tilgang til helseopplysninger i annen virksomhet (kun om tilgang til helseopplysninger i annen virksomhet er tatt i bruk).
I tillegg til punktene over anbefales det at autorisasjonsregisteret også inneholder navn og entydig identifikator til den som har registrert og tildelt/endret autorisasjonen.
Autorisasjonsregister kan opprettes med for eksempel:
- funksjonalitet i journalsystemet eller fagsystemet
- brukerlister fra journalsystemet eller fagsystemet som lagrer historikk på opprettelse, endring og deaktivering av autorisasjon for tilgang
- regneark
- tekstdokument
- løsning for identitetsregister (f.eks. IDM-/IAM-løsninger).
Under følger to eksempler på hvordan en helsevirksomhet kan føre og vedlikeholde et autorisasjonsregister i praksis. Det første eksempelet tar for seg manuell føring av autorisasjonsregisteret, og det andre eksempelet tar for seg en automatisert prosess.
Eksempel på et manuelt ført autorisasjonsregister:Normsund legekontor er et lite legekontor som består av fem praktiserende leger og en helsesekretær. Line, en av de fem legene, er også daglig leder av legekontoret og er ansvarlig for å sikre etterlevelse av de krav som stilles til autorisasjonsprosessen. Det er Line selv som autoriserer legekontorets helsepersonell, men den operative oppgaven med å registrere og vedlikeholde autorisasjonsregisteret har hun delegert til legekontorets sekretær.
Ettersom legekontoret har en håndterbar mengde ansatte og et mindre komplekst IT-miljø, har legekontoret besluttet at autorisasjonsregisteret skal føres manuelt. Det er opprettet et eget regneark som benyttes for å registrere og vedlikeholde autorisasjonene. Regnearket er tilgangsstyrt og det er kun Line og legekontorets sekretær som har tilgang til å gjøre endringer i dokumentet. De endringene som gjøres logges i dokumentets versjonshistorikk.
Selv om legekontoret er lite og alle kjenner alle, er det formalisert en rutine for tildeling eller endring av autorisasjon. Rutinen skal sikre at bestillinger skjer skriftlig og kan ettergås ved behov. Ved tildeling eller endring av autorisasjon sender Line en e-post til helsesekretæren med opplysninger om ansettelsesforholdet, herunder stilling, varighet og hvilke tilganger den ansatte skal ha. Sekretæren lagrer e-posten i en egen mappe for tilgangsbestillinger og oppdaterer autorisasjonsregisteret i tråd med bestillingen fra Line. |
Eksempel på et automatisk ført autorisasjonsregister:Normland helsesenter er et middels stort helsesenter som består av 40 ansatte med ulik helsefaglig bakgrunn, samt 5 ansatte i støttefunksjoner knyttet til IT og økonomi.
Autorisasjonsregisteret til Normland er integrert mot «service management»-systemet som driftes av IT-avdelingen. «Service management»-systemet benyttes blant annet for brukeradministrasjon og bestilling av tilganger til informasjonssystemene. Dersom det er behov for å opprette ny bruker, eller gjøre endringer i en brukers tilganger, meldes dette inn til IT via «service management»-systemet. Dette gjelder for alle tilganger til virksomhetens IKT-infrastruktur og informasjonssystemer. Normland har definert at det er den ansattes overordnede leder som er autorisert til å gjøre slike bestillinger.
Når bestillingen er registrert og brukeren er gitt tilgang til behandlingsrettede helseregistre, oppdateres autorisasjonsregisteret automatisk. Behovet for autorisasjonen fremkommer av den ansattes engasjement, rolle og organisasjonstilhørighet. Autorisasjonsregisteret inneholder da både informasjon om den autoriserte og informasjon om hvem som har autorisert tilgangen. I tilfeller der personell autoriseres for tilganger utover definerte standardtilganger, er det krav til at bestiller legger inn en kommentar som begrunner behovet og varigheten for tilgangen. |
Dersom autorisasjonsregisteret er en separat oversikt, og det i tillegg eksisterer en egen brukeroversikt med tilknyttede tilganger i informasjonssystemet (for eksempel elektronisk pasientjournal), er det viktig at dataansvarlig sikrer at det til enhver tid er samsvar mellom autorisasjonsregisteret og aktive brukere i informasjonssystemet.
Det skal etableres rutiner for ved behov å kunne sammenstille logger fra hendelsesregistre med autorisasjonsregisteret. Dette kan for eksempel være aktuelt ved innsynsforespørsel fra pasient, for å etterleve kravet om at innholdet skal gjøres forståelig for pasienten.
Det er ikke fastsatt krav i lov eller Normen som angir hvor lenge autorisasjonsregisteret skal oppbevares, men det er fastsatt at den dataansvarlige skal kunne kontrollere hvem som har benyttet seg av tilgangene i ettertid. Ref. Pasientjournalforskriften § 13 tredje ledd.
Oppbevaringstid for autorisasjonsregisteret må derfor vurderes i sammenheng med krav til oppbevaring av logger. Lagringstid for logger omtales i eget faktaark "logging og innsyn i logg (faktaark 15).
Ved vurderingen av lagringstid for autorisasjonsregisteret bør virksomheten ta hensyn til at det kan bli nødvendig å kontrollere ansattes tilganger lenge etter at autorisasjonen trekkes tilbake. Det kan derfor være behov for å lagre informasjon om ansattes tilganger etter at ansettelsesforholdet opphører.
