KILDE

Dette dokumentet er basert på Helse Sør-Øst sitt Regionalt ledelsessystem for informasjonssikkerhet, dokument NO-10 v2.0: «Bruk av mobiltelefoner og annet IKT-utstyr som ikke fullt ut administreres av foretakene». Oppdatert etter personopplysningslov av 20. juli 2018.

HENSIKT

Denne prosedyren omhandler rutiner for ansattes bruk av mobiltelefoner og nettbrett ved helse-foretakene. Mobiltelefoner og nettbrett omtales videre i denne prosedyren samlet under begrepet mobile enheter. Prosedyren omfatter ansattes bruk av private mobile enheter og mobile enheter som er lett administrert (se definisjoner under) av Sykehuspartner HF.

Private og lett administrerte mobile enheter kan benyttes til å lese e-post, kalender, samhandlings-verktøy, med mer der Sykehuspartner HF har kontroll på tilgangen til applikasjonen og dens data.

Mobile enheter som eies av helseforetakene og som er fullt administrerte, dekkes av SP-NO-POLICY-33 «Fullt administrerte mobile enheter» (se Regionalt ledelsessystem for informasjonssikkerhet).

MÅLGRUPPE

Medarbeidere ved SSHF som kan et tjenstlig behov for å benytte privat eller lett administrert mobil enhet.

definisjoner

Privat mobil enhet: Mobile enheter som er finansiert og eid av en privatperson eller annen organisasjon. Omtales også som BYOD-enhet[1]. Private mobile enheter kan ikke innrulleres for administrasjon av Sykehuspartner HF. Private mobile enheter omfatter også mobile enheter som er eiet av foretakene men som ikke er administrert av Sykehuspartner HF.

Lett administrert enhet: Mobile enheter som eies av et helseforetak, men som disponeres av de ansatte. Lett administrerte mobile enheter er mobile enheter der den ansatte selv styrer det meste av den mobile enhetenes innstillinger inklusivt installasjon av mobilapplikasjoner. Lett administrerte mobile enheter er ikke tilrettelagt for pasientbehandling eller for tjenester med person- eller virksomhetssensitiv informasjon.

Fullt administrert mobil enhet: Mobile enheter som eies av et helseforetak og som er fullt administrert av Sykehuspartner HF. Fullt administrert mobil enhet vil si at den mobile enhetens oppsett er kontrollert av Sykehuspartner, slik at brukere kun har mulighet til å endre et begrenset sett av innstillinger. Slike innstillinger vil være avgrenset til de som er nødvendige for å ivareta drift og vedlikehold av de mobile enhetene og etablerte mobilapplikasjoner.

FREMGANGSMÅTE

• Bruk av foretakseide mobile enheter skal være som et arbeidsverktøy for å forenkle kommunikasjon for medarbeidere.
• Private og lett administrer mobile enheter kan benyttes med tjenester (som f.eks. e‐post, kalender, samhandlingsverktøy og tilsvarende).
• Helseforetakseide mobile enheter skal ha aktivert automatisk tastelås med kode eller annen likeverdig mekanisme for å låse opp enheten.
• For å ivareta personvernet og taushetsplikten er det ikke lov å ta bilder av pasienter eller pårørende med private eller lett administrerte enheter. Ved behov for bilder i pasient-behandling skal virksomhetens utstyr benyttes ifølge gjeldende retningslinjer. For lagring av bildemateriale, se dokumentet Lagring, arkivering og sletting av helse- og personopplysninger. Se også dokumentet  Anonymisering av helse- og personopplysninger og avsnittet «Lyd og bilde».
• Det skal ikke lagres noen form for helse‐ eller personopplysninger mottatt i egenskap av å være helsepersonell/ansatt i/innleid til foretakene på private eller lett administrerte mobile enheter. Dette inkluderer sendte og mottatte meldinger, bilder med tekstlig eller visuell informasjon med helse‐ eller personopplysninger, eller annet innhold som kan identifisere personer.
• Bilder av medarbeidere følger prinsippet om forhåndssamtykke fra den avbildede.
• Virksomheten har ikke ansvaret for private opplysninger (f.eks. private bilder) som lagres på lett administrerte mobile enheter.

Normens Veileder for bruk av video, lyd og bilde gir utdypende informasjon om hvordan sikkerheten kan ivaretas. Merk likevel at all bruk og behandling av helse- og personopplysninger er underlagt krav om risikovurdering.

Kryssreferanser

Eksterne referanser

[1] Bring your own device