Hensikten med prosedyren er å bidra til at helseforetakene(HF) følger lovkrav til logging og loggkontroll for behandlingsrettede helseregister, samt å forebygge og avdekke uberettigede innsyn. Prosedyren gjelder DIPS både produksjon og testbaser som ikke er anonymisert.

Prosedyren beskriver loggføring av aktivitet, prinsipper og ansvar for kontroll av logger i DIPS. Prosedyren beskriver hvordan kontroll skal utføres og hvordan uvanlige oppslag skal følges opp. Med uvanlig oppslag menes oppslag som bør kontrolleres nærmere.

Helseforetakenes plikt til å loggføre oppslag i behandlingsrettede helseregistre, og jevnlig drive etterkontroll av logger, følger av pasientjournalloven § 22 og § 23. Formålet med kontroll er å beskytte helseopplysninger mot uberettiget innsyn.

Pasienter har rett til vern mot spredning av informasjon om legems‐ og sykdomsforhold, samt andre personlige opplysninger. Formålet med loggen er å sikre pasientens innsyn i hvem som har benyttet tilgangen til pasientjournalen, samt å kontrollere om uvanlige oppslag er berettiget og avdekke ev. uberettigede innsyn.

Hvert HF må ha rutiner for å gjennomgå sine logger for bruk av DIPS i eget foretak. Dette gjelder fast ansatte, innleide, konsulenter, leverandører eller andre med tilgang til sykehusenes pasientjournal. Gjennomgangen av logger omfatter oppslag i ordinære roller, innsynsrolle på tvers og oppslag fra kjernejournal.

Pasientjournalloven

§ 22. Informasjonssikkerhet: 

«Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal blant annet sørge for tilgangsstyring, logging og etterfølgende kontroll.» 

§ 23. Internkontroll: 

“Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og denne loven, jf. forordningen artikkel 24. Den dataansvarlige skal dokumentere tiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den dataansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for tilsynsmyndighetene.”

1. Ansvar

Regional systemeier for DIPS er ansvarlig for at prosedyren er kjent innen foretaksgruppen og private ideelle sykehus som inngår i konsolidert DIPS database.

Systemeier for DIPS i de respektive helseforetakene er ansvarlig for at prosedyren er kjent og implementert i eget helseforetak. Systemeier må også vurdere behov for lokale prosedyrer.

Virksomhetene må sørge for at prosedyren er kjent og ansatte er klar over at det blir foretatt loggkontroll.

a. Anmodning om innsyn i logg fra DIPS

• Rett til innsyn i loggen har:
• Pasienten, begrenset til det som angår pasienten
• Ansatte, begrenset til det som angår den ansatte
• Loggkontrollør som utfører systematisk loggkontroll
• Andre ansatte, innleide eller leverandører som på oppdrag fra sykehuset har en funksjon knyttet til formålet med loggen.
• Tilsynsmyndighet
• Leder, begrenset til konkrete saker som leder må følge opp

b. Stikkprøvekontroll
Det finnes i dag innsynsrapporter i DIPS som er egnet for å følge opp enkeltsaker, og for stikkprøvekontroll.  Viser til Brukerveiledning - Loggoppfølging av Innsynsrolle på tvers.

c. Automatisk logganalyse ved mønstergjenkjenning

Dette tiltaket benytter maskinell, statistisk logganalyse av alle oppslag som er gjort over definert tidsperiode. Metoden baseres på forutsetningen om at de fleste oppslag som gjøres er tjenstlig begrunnet. Oppslag som avviker fra vanlige oppslagsmønstre gis høyere score og underlegges en grundig manuell kontroll. Dersom den manuelle kontrollen konkluderer med at oppslaget er uvanlig, formidles dette i henhold til sykehusenes prosedyrer til den ansattes klinikk for avklaring av om oppslaget er lovlig. 

d. Kontroll av oppslag gjort av eksterne virksomheter

Med dette menes oppslag gjort via to-rolleløsningen eller Kjernejournal dokumentdeling.