Norge · GDPR · pasientjournalforskriften § 14 · helsepersonelloven · arbeidsmiljøloven § 1-8 · Normen
En norsk pasient kan spørre hvem som har åpnet journalen sin, og få svar. De fleste systemer behandler tilgangsloggen som noe et tilsyn ser i etterkant av en hendelse. Norge legger den i pasientens hender, og vi har logget hver eneste oppslag siden første versjon av dokumenttjenesten — så regelen som høres vanskeligst ut, er den vi er lengst framme på.
Denne siden beskriver det norske laget oppå GDPR, hva som er bygget og i drift, og hva vi ikke har bygget. Den siste delen er kort, konkret og ikke gjemt bort.
Norge er med i EØS, så GDPR gjelder fullt ut. Alt på GDPR-siden gjelder her uendret — behandlingsgrunnlag etter artikkel 9 nr. 2 bokstav h framfor samtykke, sletting ved å ødelegge nøkkelen, og 72-timersfristen.
Oppå det ligger norsk helserett, og den har en annen karakter enn den tyske. Tyskland legger til en straffebestemmelse om leverandøren din. Norge legger til regler om mennesker: hva pasienten får se, hvem som regnes som helsepersonell, hvem som kan opptre på vegne av en pasient, og på hvilke vilkår du engasjerer behandlerne som holder timene. Fem punkter betyr noe for et valg av programvare.
Ikke et sammendrag, og ikke bare de journalene de selv får lese. Retten omfatter tilgang til helseopplysninger om dem, også notatene de ikke får se.
Derfor betyr det noe: dette er en funksjon ingen norsk konkurrent i undersøkelsen vår er vist å ha, og den er i drift. Se avsnitt 02.
Bare autorisert helsepersonell kan kalle seg psykolog, lege eller fysioterapeut, og hver av dem har et nummer i Helsepersonellregisteret. Terapeuter uten autorisasjon er utøvere av alternativ behandling, med egne regler.
Derfor betyr det noe: en profil som bruker en beskyttet tittel uten autorisasjonen er et lovbrudd, og programvaren nekter nå å publisere den. Se avsnitt 03.
Nærmeste pårørende velges av pasienten selv. Ved 16 år samtykker den unge til egen helsehjelp. Mellom 12 og 16 kan de be om at foreldrene ikke får vite, av grunner som bør respekteres.
Derfor betyr det noe: regelen håndheves der opplysningene faktisk går ut, ikke som et filter på en skjerm. Se avsnitt 04.
Norge teller ikke ned et antall år for journalene i en privat praksis. De bevares så lenge det er behov for dem, og når praksisen legges ned går de til en etterfølger eller til det nasjonale helsearkivet.
Derfor betyr det noe: en slettemotor som bare kan destruere på en dato har feil form for Norge. Se avsnitt 05.
Arbeidsmiljøloven § 1-8. Fra 1. januar 2024 presumeres den som utfører arbeid for en klinikk å være arbeidstaker med mindre klinikken kan vise noe annet. Utbetalingsmotoren vår finnes nettopp for å betale behandlere per time, som er akkurat den ordningen presumsjonen er rettet mot. Det er den største kommersielle eksponeringen på denne siden, den tilhører klinikken og ikke oss, og avsnitt 06 er hva vi gjør med den.
Hvert oppslag i en klinisk journal har alltid blitt skrevet til en logg som ikke kan endres i det skjulte — oppføringen skrives før innholdet dekrypteres, så en nedlasting noen avbryter blir likevel registrert. Det Norge legger til, er hvem som får se den loggen.
/my/records/access-logHver eneste tilgang til hver eneste journal dem , nyeste først: når, hva som skjedde, og navnet på den som gjorde det. Ikke en rolle — et navn. Den journalen handler om er nettopp den som skal kunne spørre hvorfor en navngitt person leste den.
En klinisk rapport eller et personlig notat vises ikke til klienten. Tilgangen til den vises likevel. For de radene viser siden hva slags dokument det er, aldri tittelen, fordi en tittel lagres ukryptert og ofte er nettopp det følsomme.
Ingenting på siden åpner et dokument leseren ikke allerede kunne åpne. Historikken per dokument blir der den var; dette er et blikk på tvers av alle.
Gatewayen leverer den samme listen til mobilappen på en autentisert rute. Ingen skjerm i appen viser den ennå — den finnes bare i portalen. Sagt rett ut her, fordi en demo på telefon ikke vil vise den.
Norsk rett har en lukket liste over yrker og beskytter titlene deres. Plattformen holdt kvalifikasjoner som løpende tekst, og kunne derfor verken vise en klient hvem som var autorisert eller hindre en profil i å påberope seg en tittel den ikke hadde rett til.
Autorisasjon, lisens, alternativ behandler eller ingen; HPR-nummeret; spesialistgodkjenning etter § 53; og om utøveren står i Brønnøysunds frivillige register for utøvere av alternativ behandling.
Et nummer noen har tastet inn teller som oppgitt. Bare en kontroll mot HPR eller mot autorisasjonsdokumentet teller som kontrollert, og datoen for kontrollen tas vare på. Etter tolv måneder merkes den som foreldet.
I et norsk selskap kan en profil der navnet eller beskrivelsen bruker en beskyttet tittel ikke publiseres uten en tilsvarende, kontrollert autorisasjon. Kontrollen kjøres når posten skrives, så synkroniseringen fra hovedserveren kommer ikke utenom den.
Den offentlige profilen viser Autorisert psykolog · HPR 1234567, eller Alternativ behandler — ikke helsepersonell, hentet fra registreringen og ikke fra hva profilen sier om seg selv.
I Norge er psykoterapeut ikke en beskyttet tittel — hvem som helst kan bruke den. I Finland er det tilsvarende ordet beskyttet. Derfor holder de to landpakkene hver sin tittelliste med vilje; én felles liste ville vært feil i ett av de to landene.
Klienter har ofte noen som taler deres sak. Norge navngir fire slike og gir hver av dem sitt eget grunnlag, og aldrene 12 og 16 endrer svaret.
Hver med grunnlaget den hviler på, dokumentet bak der det finnes ett, og perioden den gjelder for. Bare én nærmeste pårørende om gangen, fordi pasienten velger én. En kliniker kan la være å behandle noen som representant, og begrunnelsen tas vare på.
Det vanlige tilfellet, og programvaren står ikke i veien for det.
Der barnet ber om at foreldrene ikke får vite og grunnene bør respekteres, blir en utlevering til en registrert forelder avvist i utleveringsregisteret, med begrunnelsen i avvisningen. Det foreldrene trenger for å utøve foreldreansvaret når dem likevel.
Samtykket er deres. En utlevering til en forelder trenger det, og å be om det er en samtale og ikke en innstilling. Saker som gjelder foreldreansvaret når foreldrene fram til 18 år.
Et filter på en side skjuler opplysninger for den som ser på den siden. Plikten er ikke å skjule dem — den er å la være å utlevere dem. Derfor sitter kontrollen på utleveringsregisteret, som er det hver eneste utlevering må gjennom, og en avvisning registreres med sin begrunnelse i stedet for å skje i stillhet.
Slettemotoren vår har fem klokker, og hver eneste av dem ender i automatisk destruksjon. En norsk installasjon med en av dem ville ødelagt journaler loven forventer at bevares. Derfor får Norge en sjette type, som ikke har noen slettedato i det hele tatt.
Når intervallet går ut — fem år i regelen som leveres — åpnes en gjennomgang og en navngitt person bestemmer: bevar, med en begrunnelse, eller slett. Den nattlige slettejobben får aldri en dato for disse journalene, så den kan aldri makulere en på egen hånd.
En gjennomgang som ender med sletting går gjennom den samme anmodningen med to godkjenninger som all annen sletting. Sletting ødelegger krypteringsnøkkelen; raden og sporet etter den blir stående.
Én behandlers journaler eller hele klinikkens, eksportert én gang til en etterfølger, til Norsk helsearkiv eller til Nasjonalarkivet. Arkivet bygges i det øyeblikket det lastes ned, og lagres aldri på serveren.
Hvert dokument som overleveres får en oppføring i utleveringsregisteret med mottakeren navngitt, og overleveringen kan lastes ned én gang. En kopi til er en ny overlevering, med sin egen oppføring.
Fra januar 2024 presumeres den som arbeider for en klinikk å være arbeidstaker, med mindre klinikken viser at et selvstendig oppdrag er mer sannsynlig. En klinikk som omklassifiseres i ettertid skylder feriepenger, arbeidsgiveravgift og sykepenger den aldri har kjørt.
Svaret, grunnlaget klinikken bygget på etter de to momentene i loven, et øyeblikksbilde av de faktaene produktet har, og en dato for ny vurdering — ett år fram som standard, fordi faktaene endrer seg og en avgjørelse fra 2024 ikke er bevis om et oppdrag i 2026.
Øyeblikksbildet viser det vi vet: hvor mange utbetalingslinjer som kom fra denne klinikken det siste året mot hvor mange som kom fra andre, og hvor mange av behandlerens ressurser som ligger på en timeplan klinikken styrer. Det legger dem ikke sammen. Spørsmålet er juridisk, og et tall ville sett ut som et svar.
I et norsk selskap kan en kjøring som betaler per time ikke bekreftes så lenge en linje mangler en gjeldende vurdering, eller har en som sier ansettelse. Lønnslinjer er unntatt. En klinikk kan slå kontrollen av, og det er klinikkens egen registrerte beslutning.
a-melding, arbeidsgiveravgift og feriepenger hører hjemme hos en norsk lønnsleverandør. Vi nekter å regne dem ut heller enn å gjette på dem.
En utpeking er ikke oppfylt ved å vite hvem som innehar den i dag. Den er oppfylt ved å kunne vise at det var noen, uten opphold — og svikten er de fjorten dagene mellom at én slutter og den neste utpekes.
Påkrevd etter GDPR artikkel 37 der helseopplysninger behandles i stor skala. Klinikken sier om det er påkrevd; dekningskontrollen melder så fra om enhver periode uten noen utpekt.
Kontrolleres for hvert norsk selskap. Den tilsvarende rollen fantes fra før under et amerikansk navn; nå har den sitt eget, fordi en norsk revisor spør etter den med det norske.
Den norske kontrollen kjører bare for selskaper med Norge som land, og den amerikanske bare for de amerikanske rollene. Dekningsrapporter som roper ulv slutter å bli lest.
Pasientjournalloven §§ 19 og 22 krever at tilgang følger et tjenstlig behov, logges og følges opp. Tilgang her følger en gjeldende behandlingsrelasjon, tilgangsavgjørelsen har ingen superbrukergren, og hvert oppslag logges — vår sterkeste strukturelle match mot norsk rett.
Fire ting, sagt før du finner dem selv. Ingen av dem er et personvernhull; tre av dem krever en avtale med noen andre før en eneste linje kode kan skrives.
Norsk e-fakturering gjennom et aksesspunkt, Vipps som betalingsmåte og en kontrollert SAF-T-eksport er ikke bygget. Det samme gjelder kassasystemerklæringen, og vi anbefaler ikke å selge kassaløsningen vår i Norge.
Norske tjenester av dette slaget åpnes normalt med BankID. Vi støtter tofaktor og låsing av enheten; vi støtter ikke BankID. Vent dette spørsmålet fra et personvernombud allerede i det første møtet.
Universell utforming har vært lov for private nettjenester i Norge en god stund. Vi har ikke fått bestillingsløpet revidert mot den, og å hevde etterlevelse uten en revisjon ville vært nettopp den typen påstand denne siden finnes for å unngå.
Det finnes et norsk språkvalg i mobilappen, men de fleste tekstene der er fortsatt den engelske teksten. Portalen og behandlerens arbeidsflate er ikke oversatt. Dette nettstedet finnes heller ikke på norsk ennå.
Å kontrollere et HPR-nummer automatisk krever en Maskinporten-klient, som den enkelte installasjonen registrerer selv; inntil da kontrollerer et menneske nummeret og registrerer at det er gjort. Og pasientens tilgangslogg finnes i portalen, men har ennå ingen skjerm i mobilappen.
Den samme grensen som på hver av de andre landsidene, med de norske navnene på.
Om et barns grunner bør respekteres, om et oppdrag er reelt selvstendig, om en journal fortsatt trengs. Programvaren registrerer hvem som bestemte, når og hvorfor. Den bestemmer ikke.
Egen drift betyr at klinikken eller driftspartneren eier serverne, sikkerhetskopiene og gjenopprettingstesten. Vi kommer ikke til å omtale dine sikkerhetskopier som våre.
Kryptering, tilgangsavgjørelsen, loggen ingen kan endre, registrene, og avvisningene som registreres i stedet for å skje i stillhet.
Avsnitt 08 er delen av denne siden det er verdt å lese to ganger. En leverandør som sier hva de ikke har, er lettere å planlegge rundt enn en som finner det ut sammen med deg.
Denne siden er skrevet ut fra publiserte sammendrag av norsk rett og kontrollert mot koden, ikke avklart med norsk advokat. Bekreft hver regel før du bygger på den, og behandle paragrafhenvisningene som et utgangspunkt for den samtalen heller enn som konklusjonen.