Veiledninger›Sikkerhet›GDPR · Den europeiske union

Den europeiske union · Forordning (EU) 2016/679

GDPR, artikkel for artikkel, og hva som faktisk er bygget.

GDPR er ikke først og fremst en sikkerhetsforordning. Sikkerhet er én artikkel av nittini. Det meste handler om rettighetene et menneske har over opplysninger om seg selv, og om å kunne vise hva du gjør og hvorfor. Det er den delen programvare enten bærer eller ikke bærer, og denne siden går gjennom den artikkel for artikkel.

Helseopplysninger får den strengeste behandlingen GDPR har. De er det forordningen kaller særlige kategorier av personopplysninger, som betyr at behandling av dem er forbudt som utgangspunkt og bare blir lovlig når et bestemt vilkår i artikkel 9 er oppfylt. Å treffe det vilkåret riktig, og å registrere det, er der mange helseinstallasjoner går feil.

De tekniske grunnmurene — kryptering, tilgangsstyring, revisjonsloggen, oppbevaring — er felles med hvert annet land og er beskrevet på den felles sikkerhetssiden. Det som følger, er det den europeiske modulen legger oppå.

Personvernombud Etterlevelsesansvarlige Sikkerhetsrevisorer Advokater som gjør selskapsgjennomgang

72 ttil å varsle tilsynet Art. 9 nr. 2 hgrunnlaget for behandlingsjournaler 3rettigheter bygget som arbeidsflyt 2styringsdokumenter holdt levende 0samtykketeater

Behandlingsgrunnlag Rettighetene Varsling ved avvik Styringsdokumenter Hvor grensene går Hva som blir hos deg

01 — Behandlingsgrunnlag

Hvorfor behandlingsjournaler ikke hviler på samtykke, og hvorfor det er det tryggeste svaret

Instinktet i de fleste virksomheter er å spørre folk om samtykke. For kliniske journaler er det instinktet feil, og å følge det skaper et alvorlig problem senere.

Samtykke etter GDPR må være frivillig. Kan en person ikke nekte uten å miste noe de trenger, er samtykket ikke gyldig. Den som står midt i et terapiforløp kan ikke reelt nekte terapeuten å føre notater. Samtykke innhentet i den situasjonen er derfor sannsynligvis ugyldig — og verre: samtykke kan trekkes tilbake, noe som ville etterlate klinikken med en plikt til å bevare journaler og uten behandlingsgrunnlag for å bevare dem.

Det riktige vilkåret for behandlingsjournaler er artikkel 9 nr. 2 bokstav h: behandling som er nødvendig for å yte helse- eller omsorgstjenester. Det er stabilt, det forsvinner ikke når noen skifter mening, og det er nettopp det forordningen mente for denne situasjonen.

Krav	Status	Hva som er bygget
Behandlingsgrunnlag registrert per dokumenttypeArt. 6 · art. 9	✓	Hver dokumenttype bærer både det alminnelige behandlingsgrunnlaget og vilkåret for særlige kategorier, pluss et fritekstfelt for begrunnelsen. Typen er det som sier hva slags behandling dette er, så å registrere det på typen betyr at det gjelder for hvert dokument som arkiveres under den, automatisk og likt hver gang.
Grunnlaget settes før opplysningene finnes	✓	Fordi det ligger på typen og ikke på det enkelte dokumentet, besvares spørsmålet når systemet settes opp, ikke av den som tilfeldigvis arkiverer. Det er forskjellen mellom en policy og en kontroll.
Samtykke der samtykke reelt er grunnlagetArt. 7	✓	Markedsføringskontakt, deltakelse i forskning og liknende hviler faktisk på samtykke, og e-signaturmodulen holder disse som signerte samtykker som kan trekkes tilbake, i stedet for en avkrysningsboks ingen kan framvise i ettertid.

✓ByggetI programvaren nå, og mulig å vise fram. ⚙Bygget — du velger verdienIngenting mangler; svaret er en beslutning for din virksomhet. ◐Delvis byggetNoe mangler faktisk, og raden sier hva. —Ikke byggetNevnt i avsnittet om mangler i stedet for å bli overlatt til å bli oppdaget.

02 — Rettighetene

Innsyn, sletting og dataportabilitet, bygget som arbeidsflyt og ikke som løfter

Hver av disse rettighetene har en frist og en beslutning bak seg. Bygget som en innboks og en god intensjon blir de oversett. Bygget som en sporet post med en beregnet frist blir de besvart — og, like viktig, du kan vise i ettertid at de ble det.

Rettighet	Status	Hva som er bygget
Rett til innsynArt. 15 · art. 12 nr. 3	✓	En sporet anmodning med den registrerte, omfanget, dokumentene den dekker, en beregnet frist og en beslutning om å innfri eller avslå. Fristen er én kalendermåned, regnet som en måned og ikke som 30 dager — noe som betyr noe, for en anmodning som kommer 31. januar er ikke forfalt 30 dager senere. forlengelsen artikkel 12 nr. 3 tillater er bygget også: den registrerer grunnen og, for seg, datoen personen faktisk fikk beskjed, for en forlengelse ingen har fått beskjed om er ikke en forlengelse.
Rett til slettingArt. 17	✓	Gjennomføres ved å ødelegge krypteringsnøkkelen framfor å slette raden — se siden om sikre dokumenter for hvordan det virker og hva det koster. Innholdet blir permanent uleselig mens det tomme skallet og tilgangsloggen består — så retten oppfylles, og beviset for hva som fantes og hvem som så det, ødelegges ikke sammen med den. Anmodningen registrerer vurderingen bak beslutningen, og lister dokumenter som ble holdt tilbake fra sletting og hvorfor.
Sletting er ikke absolutt, og systemet vet detArt. 17 nr. 3 · art. 9 nr. 3	✓	Kliniske journaler kvalifiserer sjelden for full sletting: oppbevaringsplikt og yrkesmessig taushetsplikt går normalt foran. Ingenting ødelegges mens en rettslig sperre eller en løpende oppbevaringstid står, og de sperrede dokumentene listes på anmodningen slik at avslaget forklares i stedet for å bli antydet. En rett til sletting opphever ikke en plikt til å bevare.
Rett til dataportabilitetArt. 20	✓	En eksport bygget i minnet og strømmet som en zip: metadata som JSON, innhold som arkivert. Hvert dokument som tas med logges for seg, og det betyr noe — ellers blir en samleeksport en stille måte å lese en hel journal uten å etterlate spor av hvert oppslag.
Rett til rettingArt. 16 · art. 19	✓	Håndteres gjennom den felles endringsarbeidsflyten: en retting arkiveres som en ny versjon og originalen står urørt. Komplett gjennom hva som skjer når en retting avslås — personens egen uenighetserklæring med egne ord, klinikkens svar, og regelen om at begge følger med enhver framtidig utlevering. Mottakere som allerede har den tidligere versjonen kan varsles, som er hva artikkel 19 krever.
Den første kopien er gratisArt. 15 nr. 3	✓	Artikkelen gir kopien og tillater gebyr bare for flere kopier. Håndhevet framfor å bli overlatt til den som fyller ut skjemaet: systemet teller kopiene denne personen faktisk har fått, og nekter gebyr på den første. En tidligere anmodning som ble avslått teller ikke — ingenting ble gitt, så neste anmodning er fortsatt den første kopien. Å frafalle gebyret oppfyller det, for frafalt betyr at ingenting kreves.
Rett til begrensning av behandlingenArt. 18	✓	En begrensning forsegler dokumentene den dekker og registrerer grunnen og beslutningen. Å løfte den gjenoppretter dokumentets tidligere følsomhetsmerking framfor å gjøre det alminnelig.

03 — Varsling ved avvik

To frister fra ett øyeblikk, og et unntak du må gjøre deg fortjent til

Her betaler krypteringsdesignet for seg. Artikkel 34 nr. 3 bokstav a sier at du ikke må varsle de berørte hvis opplysningene var krypterte — men bare hvis du kan vise at nøklene ikke ble tatt samtidig. Det ene vilkåret er grunnen til at nøklene ligger der de ligger, utenfor databasen og aldri i samme sikkerhetskopi som opplysningene.

Time null Å bli kjent med avviket

Begge fristene løper fra det øyeblikket du blir kjent med avviket, ikke fra det øyeblikket hendelsen skjedde. Avviksposten gjør det øyeblikket til et obligatorisk felt, så det slås fast fra starten framfor å bli rekonstruert under press etterpå.

Innen 72 timer Tilsynsmyndigheten

Artikkel 33 gir 72 timer fra du ble kjent med avviket. Systemet regner ut fristen fra tidspunktet og en planlagt jobb varsler før den løper ut — tolv timer i forveien — for en frist ingen blir minnet på, er en frist som ryker en fredag kveld.

Uten ugrunnet opphold · med mindre De berørte

Artikkel 34 krever at også de berørte varsles, med mindre unntaket gjelder. Posten holder listen over berørte personer og dokumentene det gjelder, så varslingslisten utledes av bevis framfor å bli anslått.

Vilkåret Var opplysningene krypterte, og ble nøklene tatt?

To atskilte lagrede spørsmål: om opplysningene var krypterte, og om nøklene ble kompromittert. Et ubesvart nøkkelspørsmål regnes mot unntaket. Du kan ikke lukke et avvik som ikke varslingspliktig ved å la det ubehagelige feltet stå tomt.

Resultatet En beslutning med begrunnelsen vedlagt

Posten produserer om varsling av de berørte er påkrevd, en unntaksnotis som forklarer begrunnelsen, og datoene da tilsynet og de berørte faktisk fikk beskjed. Det er dokumentet du gir et tilsyn.

Én post, vurdert én gang, mot de reglene som gjelder

Selve avviksposten ligger i den felles kjernen, så hver installasjon får den: når du ble kjent med avviket, hva det omfattet, hvem som ble berørt, om opplysningene var krypterte og om nøklene ble tatt. Den europeiske modulen legger til 72-timersfristen i artikkel 33 og beslutningen etter artikkel 34 som er beskrevet over. Den amerikanske modulen legger sitt eget lag på den samme posten — vurderingen av de fire momentene, 60-dagersklokken og tersklene for rapportering. En hendelse som berører begge, vurderes én gang og besvares to ganger.

04 — Styringsdokumenter

De to dokumentene som blir feil i det øyeblikket du slutter å vedlikeholde dem

GDPR krever to skriftlige styringsdokumenter. De fleste virksomheter lager begge som dokumenter før driftsstart og rører dem aldri igjen, og da beskriver de et system som ikke finnes lenger. Begge holdes her som levende poster i stedet, som er den eneste versjonen av dem som tåler møtet med en virkelig installasjon.

Artikkel 30

Protokoll over behandlingsaktiviteter

En liste over hva du behandler, hvorfor, om hvem, hvem som mottar det, om det forlater EU, hvor lenge du bevarer det og hva som beskytter det. Det er det første et tilsyn ber om, og den raskeste måten å se uforberedt ut hvis den er foreldet.

Hver aktivitet registrerer formålet, kategoriene av opplysninger og av mennesker, mottakere, overføringer ut av EU, oppbevaring og sikkerhetstiltak
Leveres forhåndsutfylt med de aktivitetene denne plattformen faktisk utfører: kliniske journaler, håndtering av rettigheter og revisjonsloggen
Holdes som poster som kan endres etter hvert som installasjonen endres, framfor som et dokument som må skrives om

Artikkel 35

Vurdering av personvernkonsekvenser

Påkrevd der behandlingen sannsynligvis medfører høy risiko for menneskers rettigheter. Behandling av helseopplysninger i stor skala oppfyller alltid det vilkåret, så for en klinikk finnes det ingen diskusjon om hvorvidt en slik vurdering trengs.

Registrerer behandlingens art og omfang, hvorfor den er nødvendig og forholdsmessig, risikoene, tiltakene som møter dem, gjenstående risiko, eieren og en dato for ny gjennomgang
Leveres delvis utfylt som et utgangspunkt, fordi de delene som er sanne om plattformen er de samme i hver installasjon
De delene bare din installasjon kjenner, er merket som nettopp det framfor å stå tomme, slik at en uferdig vurdering ser uferdig ut
Bærer feltet for forhåndsdrøfting for tilfellet der gjenstående risiko blir høy og tilsynet må konsulteres før du begynner

05 — Hvor grensene fortsatt går

Hva som ikke er bygget, sagt rett ut

Den europeiske modulen er den mest komplette av de tre, fordi GDPRs rettighetsmaskineri er det den ble skrevet for. Den er likevel ikke ferdig. Her er hva som ikke finnes, hentet fra å lese koden og ikke fra en ønskeliste.

Fortsatt åpent

Innvending etter artikkel 21 er ikke en egen anmodningstype. I en behandlingssituasjon er den sjelden den operative rettigheten — behandlingen hviler på artikkel 9 nr. 2 bokstav h og ikke på berettiget interesse — men tar noen den opp, finnes det ingen egen plass å registrere beslutningen.
Ingen post for automatiserte avgjørelser eller profilering etter artikkel 22. Plattformen kan gi anbefalinger. Slår du det på, blir dette en del av vurderingen din, og det finnes ingen plass i systemet å registrere det.
Overføringer ut av EU registreres som fritekst. Behandlingsprotokollen har et felt for dem, men ingen strukturert registrering av garantien som er lagt til grunn. Bruker du databehandlere utenfor EU, er dette der en revisor vil ha mer enn én setning.
Personvernombudet er ikke modellert. Der du må utpeke ett, ligger utpekingen og den publiserte kontaktveien utenfor systemet. De tilsvarende amerikanske rollene — sikkerhetsansvarlig og personvernansvarlig — har poster, så dette er en skjevhet framfor en designbeslutning.
Krypterte dokumenter kan ikke søkes i på innhold. En direkte følge av krypteringen, og den kommer ikke til å endres. Dokumenter finnes på registrert person, type og dato.

Bygget, men bare verdt det du legger i det

Vurderingen av personvernkonsekvenser leveres delvis utfylt. Det er et forsprang, ikke et ferdig dokument. Delene som er merket som spesifikke for installasjonen trenger virkelige svar før det betyr noe.
Behandlingsprotokollen må følge virkeligheten. Den kommer forhåndsutfylt med hva plattformen gjør. Hver databehandler du kobler på og hvert formål du legger til, er ditt å registrere.
De planlagte jobbene må fortsette å kjøre. Oppbevaring, sletting og varselet om avviksfristen kjører alle på en tidsplan. En jobb som stanser i stillhet er et etterlevelsesproblem som bare kommer fram i en revisjon.

06 — Din side av streken

Hva GDPR krever av virksomheten din, ikke av noen programvare

GDPR legger plikter på den behandlingsansvarlige, som er klinikken din. En plattform kan holde bevisene og gjøre arbeidsflytene virkelige. Den kan ikke være den behandlingsansvarlige.

Ikke juridisk rådgivning, og ingen produkter er GDPR-sertifiserte

Ingen myndighet sertifiserer programvare som GDPR-etterlevende. Hva denne siden beskriver, er settet av tekniske og organisatoriske tiltak plattformen gir. Bekreft hvert punkt med advokat med kompetanse i den medlemsstaten du driver i — nasjonal rett kommer i tillegg til GDPR, og helse er et av områdene der den kommer mest i tillegg.

Du er den behandlingsansvarlige. Formålene med og midlene for behandlingen er dine beslutninger. Plattformen registrerer dem; den velger dem ikke.
Databehandleravtalene er dine å signere, sammen med vilkår for underdatabehandlere for tjenester du kobler på — betaling, meldinger, lagring, eller en AI-leverandør om du slår en på.
Nasjonal rett går lenger. Tysklands § 203 StGB om yrkesmessig taushetsplikt og § 630f BGB om behandlingsjournaler er eksempler. Oppbevaringstider settes særlig nasjonalt og må bekreftes lokalt.
Å utpeke et personvernombud. Behandling av særlige kategorier i stor skala krever normalt ett. Utpekingen, og å publisere kontaktveien, er ditt.
Vurderingen av personvernkonsekvenser må faktisk fullføres. Den leveres delvis utfylt, som er et forsprang og ikke et ferdig dokument. Delene som er merket som spesifikke for installasjonen trenger virkelige svar.
Forhåndsdrøfting med tilsynet. Der gjenstående risiko blir høy etter tiltak, krever artikkel 36 at du drøfter med tilsynet før du starter. Det er en beslutning, ikke en funksjon.
Følg med på de planlagte jobbene. Oppbevaring, sletting og varselet om avviksfristen kjører alle på en tidsplan. En jobb som stanser i stillhet er et etterlevelsesproblem som bare kommer fram i en revisjon.

Den ærlige oppsummeringen på ett avsnitt

Behandlingsgrunnlaget registreres per dokumenttype og bruker riktig artikkel 9 nr. 2 bokstav h framfor samtykke. Sletting er reell og utføres ved å ødelegge krypteringsnøkkelen, så retten oppfylles uten å ødelegge beviset for at en journal fantes. Dataportabilitet gir en strømmet eksport der hvert dokument logges for seg. Varsling ved avvik er bygget med begge fristene, krypteringsspørsmålet og nøkkelspørsmålet, og et ubesvart nøkkelspørsmål teller mot unntaket. Behandlingsprotokollen og vurderingen av personvernkonsekvenser er levende poster framfor foreldede dokumenter, og innsynsfristen er én kalendermåned med forlengelsen i artikkel 12 nr. 3 bygget oppå. Hva som mangler, er innvending som egen anmodningstype, en post for automatiserte avgjørelser, strukturerte poster for overføringer ut av EU, og en plass å holde utpekingen av personvernombud.

07 — Hvor du går videre

Resten av bildet

FellesSikkerhetsoversiktDen tekniske kjernen hvert land hviler på: kryptering, tilgangsstyring, revisjonslogg, herding. JurisdiksjonHIPAA · USAPersonvern- og sikkerhetsreglene, skillet for psykoterapinotater og 42 CFR Part 2. JurisdiksjonUK GDPR · StorbritanniaTesten for alvorlig skade, NHS' oppbevaringsplan og journaler etter avdøde. KjernenSikre dokumenterHvordan sletting ved å ødelegge nøkkelen faktisk virker, og risikoene som følger med.