Storbritannia · UK GDPR · Data Protection Act 2018 · NHS Code of Practice 2021
UK GDPR, testen for alvorlig skade, og NHS-planen.
Etter at Storbritannia forlot Den europeiske union beholdt landet GDPR nesten uendret og kaller den UK GDPR. Det meste som gjelder her er derfor det samme som i EU, og GDPR-siden dekker det felles grunnlaget: behandlingsgrunnlag, innsyn, sletting, dataportabilitet og styringsdokumentene.
Denne siden dekker det som er annerledes. Data Protection Act 2018 legger til helsespesifikke regler den europeiske forordningen ikke har, NHS setter oppbevaringstider EU overlater til hvert land, og det finnes en rett over journalene til mennesker som er døde som GDPR ikke berører i det hele tatt. For en tjeneste innen psykisk helse er de forskjellene ikke små.
Å holde en journal tilbake fra den den handler om
Schedule 3, del 2 i Data Protection Act 2018 tillater at helseopplysninger holdes tilbake fra en persons eget innsynskrav, i den grad utlevering sannsynligvis vil føre til alvorlig skade på noens fysiske eller psykiske helse. I en tjeneste innen psykisk helse er dette det nærmeste Storbritannia har til det amerikanske unntaket for psykoterapinotater, og det brukes av virkelige grunner: en journal som navngir en tredjeperson i fare, eller en der utlevering på feil tidspunkt vil skade personen selv.
Det er også en alvorlig myndighet, og loven er prosessuelt streng om den. Vurderingen må komme fra en egnet helsefaglig person som er involvert i behandlingen av vedkommende, og den må være gitt i løpet av de siste seks månedene. Bygget som en avkrysningsboks blir det et flagg noen satte i 2023 og ingen har sett på siden. Derfor er det bygget som en arbeidsflyt som utløper av seg selv.
Hva systemet krever
Før en beslutning kan finnes i det hele tatt
- En navngitt fagpersonBeslutningen registrerer hvem som tok den, ikke bare at den ble tatt.
- En gjeldende behandlingsrelasjonBare den som har en løpende relasjon til personen kan ta beslutningen. Systemet kontrollerer dette framfor å stole på det.
- Begrunnelsen med egne ordIkke en nedtrekksliste. Fagpersonen skriver hvorfor, og den teksten er selve registreringen.
- De konkrete dokumenteneBeslutningen dekker navngitte dokumenter, ikke en hel mappe eller et helt menneske.
Hva systemet gjør etterpå
Som er der en avkrysningsboks ville sviktet
- Den utløper etter seks månederAutomatisk, i tråd med lovens eget seksmånedersvindu for den helsefaglige vurderingen. Ingenting avhenger av at noen husker.
- Den kommer først i en gjennomgangskøEn planlagt jobb løfter fram beslutninger som nærmer seg utløp, slik at en som fortsatt er gyldig kan fornyes med vilje.
- Å oppheve den gjenoppretter den forrige merkingenIkke «vanlig». Et dokument som var følsomt før beslutningen er følsomt igjen etter den, framfor å bli stille nedgradert.
- Behandlingsteamet ser fortsatt dokumentetTilbakehold er fra personen, ikke fra klinikerne som behandler vedkommende. Det er hele poenget med å holde tilbake framfor å slette.
- Tilgangsloggen registrerer det som en egen hendelseSå historikken viser hva som ble holdt tilbake, fra hvem, når og etter hvems beslutning.
Den vanligste svikten med tilbakehold er ikke å treffe en feil beslutning. Det er å treffe en riktig beslutning og så aldri se på den igjen, slik at materiale blir holdt skjult for noen i årevis etter at grunnen er borte. Lovens seksmånedersvindu finnes nettopp for å hindre det, og et system som lagrer beslutningen som et permanent flagg undergraver det i stillhet. Utløp som standard legger byrden på å fornye en begrensning framfor på å huske å oppheve en.
Hvor lenge journaler bevares, og hva periodene regnes fra
NHS Records Management Code of Practice 2021 setter oppbevaringstider for helsejournaler. Den binder NHS-organisasjoner og tjenester som er kontrahert for å levere NHS-behandling. En privat klinikk setter sin egen policy — men å legge NHS-planen til grunn er det trygge utgangspunktet, for å korte inn en oppbevaringstid senere er enkelt, og å oppdage at du har kastet noe du trengte er det ikke.
De fire reglene under leveres som data, klare til bruk. Hver regnes fra en lagret ankerdato, som er den delen de fleste oppbevaringsplaner får feil: en periode uttrykt i år er meningsløs uten noe å regne fra, og «da filen ble opprettet» er nesten aldri riktig svar.
| Journaltype | Periode | Regnet fra, og hvorfor |
|---|---|---|
| Journaler innen psykisk helse | 20 år | Fra datoen for siste kontakt med tjenesten. Dette er den lengste perioden i prosjektet, og det er den slettemotoren ble bygget rundt — et system som ikke kan holde en journal riktig i tjue år kan ikke tjene en praksis innen psykisk helse i det hele tatt. |
| Etter død | 10 år | Fra dødsdatoen. Det er derfor dødsdato lagres som et eget oppbevaringsanker framfor å bli behandlet som en slutt på relasjonen. |
| Alminnelige journaler for voksne | 8 år | Fra siste kontakt. Gjelder materialet utenfor psykisk helse som en praksis samler opp ved siden av den kliniske mappen. |
| Journaler for barn | Til fylte 25 | Fra fødselsdato, som er grunnen til at fødselsdato også er et anker. En periode som slutter på en bursdag kan ikke regnes ut fra noe annet. |
Krypteringsnøkkelen for den journalen ødelegges — siden om sikre dokumenter dekker mekanismen og grensene for den. Innholdet blir permanent uleselig mens det tomme skallet og revisjonssporet består, så du kan vise at journalen fantes og ble slettet etter planen. Ingenting ødelegges mens en rettslig sperre står. Og fordi sletting kjører som en planlagt jobb, må noen bekrefte at den fortsatt kjører — en slettejobb som stanser i stillhet er et problem som først kommer fram i en revisjon.
En rett GDPR ikke rekker
GDPR verner levende mennesker. Den sier ingenting om journalene til noen som er død, og det etterlater et hull Storbritannia fyller med sin egen lovgivning. Access to Health Records Act 1990 gir en personlig representant for avdøde, eller noen med et krav som følger av dødsfallet, rett til å be om journalene.
Det er en reelt annen type anmodning, og å behandle den som en vanlig innsynsanmodning skaper en virkelig risiko. Den som spør er ikke den registrerte. Retten hviler på deres stilling — å være eksekutor, eller å ha et krav — og den stillingen må slås fast og registreres framfor å bli antatt ut fra at de er familie. Et søsken har ikke automatisk rett; en eksekutor har det.
| Forhold | Status | Hvordan det håndteres |
|---|---|---|
| En egen type anmodning | ✓ | Registrert som sin egen anmodningstype framfor å bli lagt inn i innsynssporet, fordi den som spør, retten og grunnene for avslag alle er forskjellige. |
| Stillingen til den som spør | ✓ | Fanget på anmodningen. Hvem som spør, og på hvilket grunnlag de har rett til å spørre. |
| Dødsdato som oppbevaringsanker | ✓ | Lagret, slik at tiårsperioden etter død regnes ut framfor å bli anslått, og slik at journalen fortsatt finnes når en anmodning kommer år senere. |
| Grunner for avslag | ◐ | Bygget: et avslag registreres, med begrunnelsen skrevet ut og tilskrevet en person.
Hva som gjenstår: lovens egne grunner — materiale avdøde forventet skulle forbli fortrolig, og opplysninger som identifiserer en tredjeperson — tilbys ikke som egne valg å plukke fra. Noen må kjenne grunnene og skrive hvilken som gjaldt, framfor å velge den fra en liste slik de kan på et HIPAA-avslag. |
Prinsippet som sier at å blokkere alt også er en svikt
Britisk informasjonsforvaltning i helsetjenesten bygger på Caldicott-prinsippene, med en Caldicott-ansvarlig i hver organisasjon. De fleste av dem er som du ville forventet: begrunn formålet, bruk det minste nødvendige, tilgang etter tjenstlig behov, kjenn ditt eget ansvar, følg loven.
Prinsipp 7 er det som endrer hvordan et system utformes. Det sier at plikten til å dele opplysninger kan være like viktig som plikten til å verne pasientens fortrolighet. Et system bygget bare for å nekte er ikke et trygt system — det er et der en kliniker i en krise klokken to om natten ikke kommer til det de trenger, og der omveien blir en telefonsamtale og et notat på papir ingen logger.
Det prinsippet er grunnen til at nødtilgang er en utformet funksjon i denne plattformen framfor et hull etterlatt i den. En kliniker kan nå en journal de ikke har noen relasjon til, i en reell nødssituasjon, ved å åpne en nødtilgangsøkt. Den registreres som en hendelse og gjennomgås etterpå. Tilgangen finnes; bruken av den er aldri stille. De to egenskapene sammen er hva som gjør den forsvarlig etter prinsipp 7 og etter UK GDPR på samme tid.
Hva som ikke er bygget på den britiske siden
Den britiske modulen er den minste av de tre, fordi det meste Storbritannia trenger arves fra GDPR. Det betyr at de gjenstående manglene stort sett er de spesifikt britiske.
Fortsatt åpent
- Grunnene for avslag i Access to Health Records Act er fritekst. Loven har sine egne grunner for å avslå — materiale avdøde forventet skulle forbli fortrolig, og opplysninger som identifiserer en tredjeperson. Avslaget og begrunnelsen registreres, men de grunnene er ikke modellert som egne valg du plukker fra.
- Ingen registrering av Caldicott-ansvarlig. Rollen er påkrevd i NHS-organisasjoner og forventet i tjenester som leverer NHS-behandling. Den amerikanske sikkerhetsansvarlige og personvernansvarlige har utpekinger i systemet; Caldicott-ansvarlig har det ikke, så utpekingen ligger utenfor.
- National Data Opt-Out er ikke implementert. Bruker du opplysninger til formål utover direkte behandling, kan pasienter reservere seg mot den bruken nasjonalt, og å respektere det er et krav for tjenester som vender mot NHS. Ingenting i produktet sporer eller anvender det.
- Data Security and Protection Toolkit er utenfor omfanget. Organisasjoner som vender mot NHS fyller den ut årlig. Den vurderer organisasjonen din framfor denne programvaren, og ingen del av produktet bærer den.
- Krypterte dokumenter kan ikke søkes i på innhold. En direkte følge av krypteringen. Dokumenter finnes på registrert person, type og dato.
Bygget, men bare verdt det du gjør med det
- Gjennomgangskøen for tilbakehold må arbeides med. Beslutninger løftes fram før de utløper, slik at en som fortsatt er gyldig kan fornyes med vilje. Leser ingen køen, faller gyldige beslutninger bort og materiale blir synlig som en kliniker vurderte at det ikke burde være.
- Nødtilgangsoppføringer må gjennomgås. Hver nødtilgang registreres. Kontrollen er gjennomgangen, ikke registreringen.
- Det må bekreftes at oppbevaringen kjører. NHS-periodene leveres som data, og sletting kjører på en tidsplan. En slettejobb som stanser i stillhet er en styringssvikt som først kommer fram i en revisjon år senere.
Hva som blir hos virksomheten din
Ikke juridisk rådgivning, og ingen produkter er sertifiserte
ICO sertifiserer ikke programvare som UK GDPR-etterlevende. Denne siden beskriver de tekniske og organisatoriske tiltakene plattformen gir. Bekreft hvert punkt med britisk advokat eller din ansvarlige for informasjonsforvaltning før det havner i en kontrakt.
- Du er den behandlingsansvarlige. Formålene med og midlene for behandlingen er dine å bestemme.
- Databehandleravtaler med hver databehandler du kobler på, og vilkårene for underdatabehandlere som følger med dem.
- Å utpeke en Caldicott-ansvarlig og, der det kreves, et personvernombud, og å publisere hvordan folk når dem.
- Å bestemme din egen oppbevaringspolicy om du er en privat klinikk. Å legge NHS-planen til grunn er et forsvarlig utgangspunkt, men det er en beslutning du treffer og registrerer.
- Å fylle ut Data Security and Protection Toolkit om du leverer NHS-behandling.
- Hvem som får en behandlingsrelasjon, og opplæringen og veiledningen bak den.
- Å gjennomgå bruken av nødtilgang. Systemet registrerer hver nødtilgang. Noen må lese de oppføringene og handle på hva de viser.
- Å følge med på de planlagte jobbene, inkludert slettekjøringene og gjennomgangskøen for tilbakehold. En jobb som stanser i stillhet er en styringssvikt som først kommer fram senere.
UK GDPR er GDPR, så behandlingsgrunnlaget, innsynet, slettingen, dataportabiliteten og styringsarbeidet som er beskrevet på den europeiske siden gjelder her uendret. Oppå det er testen for alvorlig skade bygget som en arbeidsflyt som krever en navngitt fagperson med en gjeldende behandlingsrelasjon, registrerer begrunnelsen, løftes fram til gjennomgang og utløper av seg selv etter seks måneder. NHS' oppbevaringsplan leveres som data, inkludert tjueårsperioden innen psykisk helse som slettemotoren ble bygget rundt. Journaler etter avdøde håndteres som sin egen type anmodning, fordi den som spør ikke er den registrerte, og varsling til ICO ved avvik kjører på den felles avviksposten. Hva som mangler, er lovens egne grunner for avslag som valg å plukke fra, en registrering av utpekt Caldicott-ansvarlig, og National Data Opt-Out.