HENSIKT
Dette dokumentet beskriver hvor det er anledning til å lagre data generelt, og helse- og personopplysninger spesielt når disse ikke er hensiktsmessig å lagre denne informasjonen direkte i de ulike fagsystemene.

MÅLGRUPPE

Alle medarbeidere ved Sørlandet sykehus HF (SSHF).

OPPSUMMERING

Behandling av helse- og personopplysninger skal primært skje i godkjente fagsystemer. Når et fagsystem ikke er egnet, skal kun lagringstjenester godkjent til formålet benyttes. Under er det beskrevet hvilke lagringstjenester dette gjelder – og hvilke lagringstjenester som ikke kan eller skal benyttes. Dette dokumentet er et supplement til Lagring, arkivering og sletting av helse- og personopplysninger og Forenklet sikkerhetsinstruks (med signaturdel).

ANSVAR

• Administrerende direktør er dataansvarlig for all behandling av helse- og personopplysninger i SSHF. Har ansvaret for at lagring og forvaltning av helse- og personopplysninger gjøres med nødvendig sikkerhet og kun i samsvar med gyldig behandlingsgrunnlag.
• Informasjonssikkerhetsleder har ansvar for å forvalte, rapportere og rådgi behandlingsansvarlig innen informasjonssikkehetsområdet.
• Personvernombud (regional rolle) og personvernleder (rolle lokalt ved SSHF) har som oppgave å sikre at den enkeltes personvernrettigheter blir ivaretatt, at all utlevering av personopplysninger registreres gjøres med nødvendig sikkerhet, og at utleveringen skjer kun med gyldig grunnlag.
• Ledere innen ulike enheter og områder har ansvar for å påse at denne retningslinjen implementeres og etterleves innen eget ansvarsområde. Det vil si at dokumentet er kjent, tilgjengelig og blir brukt.
• Alle ansatte og innleide ved virksomheten som skal lagre og behandle helse- og personopplysninger, skal forholde seg til denne retningslinjen. Dette gjelder uavhengig av organisatorisk plassering og yrkesgruppe.

FREMGANGSMÅTE

Innledning

Kravene i Personopplysningsloven innebærer, kort fortalt at:

1)      Tilgang skal være basert på tjenstlig behov, tilgang skal logges og relevante sikkerhetskrav skal ivaretas.

2)      Det skal føres en fullstendig oversikt over hvor vi lagrer og behandler helse- og personopplysninger.

Dette betyr i praksis at kun godkjente lagringstjenester kan benyttes, og at all bestilling av nye lagringsområder i disse tjenestene skal gjøre iht rutiner og retningslinjer for dette. Det skal også foreligge et gyldig behandlingsgrunnlag, og opplysningene skal slettes når behovet opphører. Disse lagringstjenestene kan (og bør) også benyttes for annen, beskyttelsesverdig informasjon, dvs når det er ønskelig å begrense innsyn.

Noen eksempler på bruk av slik lagring kan være, og som ikke nødvendigvis kun gjelder helse- og personopplysninger (listen er ikke uttømmende):

-            Saksforberedende dokumentasjon

-            Midlertidig lagring av helse- og personopplysninger som skal sammenstilles eller bearbeides før overføring til et fagsystem

-            Klagesaker, personalsaker eller andre tilsvarende behov.

-            Prosjekter

Godkjente lagringsområder i sykehusets nettverk

For fagsystemer kan mapper under U:\ (Systemdata) opprettes. Dette følger at løsningsdesign og ROS som Sykehuspartner utarbeides. Mappene på U: skal kun benyttes til det spesifikke formålet, ikke til generell lagring.

For helse og personopplysninger, samt annen beskyttelsesverdig informasjon kan følgende lagringstjenester benyttes:

• Filmapper som opprettes under O:\Sensitivt\ (omtales som RSM)
• Filmapper som opprettes på sharepoint (omtales som SSM)

For bestilling av nye mapper, se Intranett - RSM og SSM. Som det fremkommer her er leder ansvarlig for at lagring og behandling er iht opprinnelig bestilling. Leder, evt med stedfortreder er også ansvarlig for kun å gi tilgang til ansatte som har tjenstlig behov. Pr dd deles disse tjenestene inn i følgende:

• Klinikk – klinikkene bestiller mapper iht sine behov
• Kvalitet – for kvalitetsarbeid
• Forskning – for forskningsprosjekter.

For mer informasjon om kvalitet og forskning, se Forskningsprosjekter og kvalitetssikringsstudier - Oppstart - SSHF som forskningsansvarlig institusjon

I Teams kan helse- og personopplysninger kun lagres i fortrolige team (F-Team). Pr okt ’26 pågår det arbeid hos Sykehuspartner for å gjøre F-Team klar, slik at dette kan bestilles. Rutiner for bestilling finner du her: Bestille team i Teams. Bruk av Teams og M365 er beskrevet i M365-portalen.

Ut over dette kan også krypterte minnepinner benyttes (se IKT: Bruk av kryptert minnepenn SafeConsole / IronKey), men det anbefales ikke å benytte slik som eneste lagringssted pga risiko for tap av data.

Dette betyr at du ikke skal benytte følgende tjenester til dette (listen er ikke uttømmende):

-            X-, P- eller O-team

-            Sharepoint (andre områder enn det som er definert inn under SSM)

-            OneDrive, Mine filer (ditt personlige lagringsområde)

-            Lokalt på PC eller på eksterne lagringsmedier (eksempelvis USB minnepinner ol)

-            På privat utstyr eller private/personlige tjenester på internett

For Åpen og Intern informasjon hvor det det ikke er særskilt krav til beskyttelse kan alle øvrige lagringsområder benyttes. Disse skal likevel være godkjente, jf IKT-systemer og -tjenester som er oppført i foretaks modul Informasjonssystemer i Kvalitetsportalen.

Dette innebære at det er begrensing i bruk av og tilgang til eksterne tjenester, slik so skylkagringstjenenster (Google drive/dokuments, Dropbox ol tjenester), jf Forenklet sikkerhetsinstruks (med signaturdel)

For veiledning om klassifisering av informasjon og valg av riktig lagringssted: kontakt informasjonssikkerhetsleder.

Kryssreferanser

Eksterne referanser