Image Added
medicin
Image Added








Införandeguide Pascal

Innehållsförteckning
1 Syfte och bakgrund
2 Krav för att få åtkomst till Pascal
2.1 Steg 1 – Definiera begrepp, roller och ansvar i enlighet med PDL
2.2 Steg 2 – HSA
2.3 Steg 3 – Användarroller Pascal
2.4 Steg 4 – SITHS
3 Definition och förklaring
3.1 Patientdatalagen (PDL) och dess begrepp
3.2 Säkerhetstjänsterna

Ankare
_Toc44405118 _Toc44405118

Syfte och bakgrund

Detta dokument är framtaget för att underlätta införandet av säkerhetslösningen inklusive uppfyllande av Patientdatalagen (PDL) för förskrivningsverktyget Pascal. Vi ger här konkreta förslag, för mindre kommuner, på hur organisationen kan sättas upp i HSA för att åtkomst till Pascal ska möjliggöras. Dokumentet ger dessutom övergripande information om säkerhetslösningen med förklaring på vilka attribut som krävs och varför samt kort information kring inloggning och SITHS. Denna information ska kunna användas av alla som har behov av att få åtkomst till Pascal.
Som synes i bilden nedan är dokumentet ett systerdokument till

1. 1. Bakgrund till Pascal

Apoteksmarknaden för öppenvårdsapotek omreglerades åren 2009-2010 och under 2011 skedde samma process med dosapoteken. Det innebär att idag är Apoteket AB inte längre enda aktör för att tillhandahålla dosdispenserade läkemedel. Från att ha ansvarat för hela kedjan, dvs dosproduktion, dosreceptregister och användarstöd (e-dos webbapplikation), ändras deras roll.

• • • Dosproduktionen konkurrensutsätts och flera aktörer finns idag: Apoteket AB, Svensk Dos AB, Apotekstjänst AB.
    • De lokala dosreceptregistren överfördes från Apoteket AB till ett nationellt dosreceptregister hos eHälsomyndigheten. Det centrala dosregistret är en utökning av befintligt receptregister.

eHälsomyndigheten tillhandahåller också de tjänster som behövs för att hämta denna patientinformation.
Center för eHälsa i samverkan (CeHis) som var regionernas beställarorganisation gav Inera AB, som ägs av alla regioner och kommuner i Sverige, uppdraget att skapa ett förskrivningsverktyg –
Pascal. Pascal erbjuds samtliga användare inom regioner, kommuner och privata vårdgivare. Som ett led i den nationella e-hälsostrategin ställs krav på säker inloggning med två faktors-autentisering för åtkomst till Pascal.
Pascal är ett första steg mot en gemensam läkemedelslista. Målsättningen med Pascal är att användaren snabbt och enkelt ska kunna bilda sig en uppfattning om patientens läkemedelsbehandling och att på ett smidigt sätt kunna förskriva, förlänga, ändra, sätta ut eller makulera recept. Pascal erbjuder även tillgång till uthämtade läkemedel (Läkemedelsförteckningen) för icke-dospatienter.

Ankare
_Toc44405119 _Toc44405119

Krav för att få åtkomst till Pascal

Vid inloggning till Pascal används SITHS-kort för att unikt identifiera användaren. Behörighetskontroll och rättighetstilldelning sker med data från HSA-katalogen och en autentiseringstjänst. Pascal använder sig av den integrerade IdP från Inera Säkerhetstjänster. Verksamheter som ska utnyttja Pascal måste därför se över ett antal definitioner och implementeringen av desamma.

Ankare
bookmark0 bookmark0

Ankare
_Steg_1_– _Steg_1_–

Ankare
_Toc44405120 _Toc44405120

Steg 1 – Definiera begrepp, roller och ansvar i enlighet med PDL

För att få åtkomst till Pascal krävs att säkerhetskraven i enlighet med Patientdatalagen är uppfyllda. Detta innebär att ett antal begrepp ska vara definierade för att visa på ansvarsområden, behörighet och i slutändan ge ökat patientsäkerhet. Varje organisation ska själva sätta upp de ansvarsområden i fråga om Vårdgivare, vårdenhet, vem som är ansvarig (verksamhetschef) samt vilka behörigheter som tilldelas personalen av verksamhetschefen. Det är viktigt att skilja på ansvar och utförande då verksamhetschefen står som ansvarig men kan delegera administrationen av uppgifterna i HSA till HSA-administratörer.
I Steg 2 går vi direkt på ett förslag på hur HSA kan hanteras rörande PDL. Ytterligare information finns i avsnitt 3 Definition och förklaring.

Ankare
_Toc44405121 _Toc44405121

Steg 2 – HSA

De begrepp och roller som definierats i Steg 1 ska registreras i HSA-katalogen. Informationen i texten nedan är i stort anpassad för uppdatering via "HSA Admin" (det administrativa gränssnitt som finns på HSA-katalogen för att underhålla uppgifter i HSA manuellt) då övriga lokala verktyg som används för uppdatering av HSA-katalogen inte har enhetlig hantering.

Vårdgivare

Vårdgivare utgörs av regionen, kommunen, den juridiska person eller enskilda näringsidkare som bedriver hälso- och sjukvård. I HSA krävs att organisationsnummer finns registrerat på enheten som ska definieras som vårdgivare. Detta innebär t.ex. att i en kommun så registreras Kommunen som vårdgivare för den sjukvård kommunen själv bedriver. Privata utförare av kommunal hälso- och sjukvård är dock egna vårdgivare. Information om hur vårdgivare registreras via HSA Admin finns i

Vårdenhet

Vårdenheter kan registreras i HSA först när vårdgivare har registrerats. Även Vårdenhet sätts ofta högt upp i organisationen. För stora grupperingar ger sannolikt trubbig hantering samt lägre säkerhet och för små ger extra administration.
I en liten kommun kan t.ex. vårdenhet läggas så högt som på Socialförvaltning eller Vård- och omsorgsförvaltning. För de lite större kan det finnas behov av att definiera ett antal olika vårdenheter utifrån t.ex. geografisk uppdelning såsom områden och stadsdelar, verksamhetsmässigt där uppdelning kan göras t.ex. på hemsjukvården som en vårdenhet och en grupp av särskilda boenden som en annan vårdenhet. Det viktiga är att varje organisation definierar vårdenheterna utifrån de organisatoriska förutsättningar som gäller i den egna verksamheten.
Det finns även möjlighet att koppla enheter (kliniker/mottagningar) till denna vårdenhet t.ex. för att definiera ansvarsområdet för vårdenheten. Detta innebär att samma medarbetaruppdrag gäller för vårdenheten och alla dess kopplade enheter se vidare i Handbok för HSA-administratörer.
Vidare kan man koppla kliniker/mottagningar till en vårdenhet för att få till en koppling mellan arbetsplatskod och vårdenhet. Detta görs då arbetsplatskoden endast gäller en viss del av vårdenhetens verksamhet och därmed är placerad på en annan enhet. Information om hur vårdenheter registreras och underliggande kliniker/mottagningar kopplas till vårdenheten via HSA Admin finns i Handbok för HSA-administratörer.
Arbetsplatskod anges i HSA, i attributet Arbetsplatskod, på vårdenheten för att:

1. Kunna återsända kostnaden för läkemedel till rätt kostnadsställe
2. Få tillgodogöra sig läkemedelsförmån.

Beroende på hur detaljerad ekonomisk uppföljning som önskas kan en eller flera arbetsplatskoder anges på vårdenheten och dess underenheter (kliniker/mottagningar). Förskrivaren kommer ges möjlighet att i Pascal välja vilken arbetsplats som ska användas. Det namn förskrivaren väljer är motsvarande enhetsnamn med följden att den eller de arbetsplatskoder som finns registrerade på den enheten används.

Detta innebär vidare att underliggande kliniker/mottagningar med egna arbetsplatskoder ska vara kopplade till den vårdenhet där medarbetaruppdraget är upplagt och ingår därmed i den vårdenheten och angiven verksamhetschefs-ansvarsområde.
Arbetsplatskoder administreras av respektive regions s.k. ARKO-administratör. För att komma i kontakt med administratören inom er region kan ni antingen fråga efter ARKO-administratören via regionens växel alternativ ta kontakt med eHälsomyndighetens supportfunktion:

• E-post: registrator@ehalsomyndigheten.se

 Telefon: 0771-766 200
Uppgift i HSA-katalogen – för instruktion se Handbok för HSA-administratörer.

Verksamhetschef

I HSA katalogen krävs ingen speciell hantering av en verksamhetschef utöver att personen ska vara upplagd.
Uppgift som verksamhetschef ansvarar för i HSA-katalogen
(arbetet i HSA-katalogen kan delegeras till HSA-administratör)

• Tilldelning av organisatoriska rättigheter; inom den egna enheten; för andra enheter hos den egna vårdgivaren.
• Tilldelning av personliga rättigheter (Medarbetaruppdrag samt befattning och gruppförskrivarkoder) för respektive anställda, studenter och uppdragstagare (Stafettläkare, Läkarsekreterare från bemanningsföretag etc.).

Medarbetaruppdrag

Verksamhetschefen för vårdenheten ansvarar för vilka medarbetaruppdrag som skapas och vilka personer som tilldelas respektive uppdrag. Syftet med medarbetaruppdraget är att användarna ska få korrekt behörighet och rättighet i systemet.
För att få åtkomst till Pascal krävs att personen har ett medarbetaruppdrag tilldelat till sig i HSA. Medarbetaruppdraget placeras direkt under den vårdenhet uppdraget tillhör. Personer kan kopplas till ett medarbetaruppdrag oavsett var i HSA-katalogen de är placerade.
Pascalanvändare ska vara kopplade till ett medarbetaruppdrag med syfte (commissionPurpose) "Vård och behandling" för en given vårdenhet. Detta registreras i HSA av lokal HSA administratör. För tilldelning av medarbetaruppdrag se Handbok för HSA-administratörer.
Återanvänd gärna redan befintliga medarbetaruppdrag där så är möjligt.

Personpost

För att få åtkomst till Pascal med SITHS-kort krävs det att personen finns upplagd i HSA. Utöver att personen måste ha ett medarbetaruppdrag tilldelat till sig måste ett antal attribut vara ifyllda på själva personposten. Personposten behöver inte vara placerad under de vårdenheter denne har medarbetaruppdrag på utan kan rent organisatoriskt vara placerad under en personalenhet i HSA och sen kopplas till respektive medarbetaruppdrag.
Vad som krävs på personposten anges nedan, för information om hur attributen administreras se Handbok för HSA-administratörer.

• För tydligare information om registrering av dessa värden se tabell Användarroller Pascal.
  Attributen behöver bara läggas in på de personer som har respektive attribut, dvs har en person varken förskrivarkod eller legitimerad yrkesgrupp ska detta inte läggas in, personen kommer då in i Pascal i rollen 'Övriga om de uppfyller de andra kraven för Övriga.
  

  Ankare
  _Steg_3_– _Steg_3_–

  Ankare
  _Toc44405122 _Toc44405122

  Steg 3 – Användarroller Pascal

• • Uppgifter såsom Legitimerad yrkesgrupp och personliga förskrivarkoder stäms vid anställning av med Socialstyrelsen enligt er organisations rutin och kan därefter uppdateras kontinuerligt genom kontroller mot Socialstyrelsens register för hälso- och sjukvårdspersonal (HOSP) Kräver att organisationen i sin HPT gett Inera AB sitt godkännande att hämta dessa uppgifter från Socialstyrelsens register.. Detta görs av organisationens HSA huvudadministratör via den så kallade HSA-portalen och kräver att sökning och korrigering av felaktiga uppgifter initieras manuellt men sedan uppdateras automatiskt. *** Krav på att personnummer eller legitimationskod finns i HSA.
    • • Krav på att personnummer finns i legitimationsregistret kopplat till yrkesgruppen.
        (a) eHälsomyndigheten tillåter inte Röntgensjuksköterskors tillgång likställiga med sjuksköterskor då de har separat utbildningsväg än Sjuksköterskor.
        (b) eHälsomyndigheten tillåter inte Barnmorskor utan personlig förskrivarkod tillgång.
        Tilldelning av gruppförskrivarkod sker av respektive verksamhetschef till behörig person. Detta hanteras sedan manuellt i HSA av respektive vårdgivare.
        För mer information kring administration av HSA Admin se Handbok för HSA-administratörer.
        
        

        Ankare
        _Toc44405123 _Toc44405123

        Steg 4 – SITHS

Kraven på säkerhet och behörighetsskyddad information blir allt hårdare inom vård, omsorg och andra närliggande verksamheter. Ingen ska kunna komma åt information eller logga in i system utan att vara behörig till det. Detta är viktigt både för att patienter ska känna sig trygga, och för att personal ska kunna lita på den information de får. En gemensam säkerhetslösning som SITHS behövs för att kunna uppfylla lagens krav på behörighetsskydd på ett smidigt och kostnadseffektivt sätt.
För inloggning i Pascal krävs SITHS-kort. Vid inloggning med SITHS-kort gäller:
Pascal använder sig av tjänstecertifikatet på SITHS-kortet.

• Detta innebär att användaren alltid loggar in med sitt SITHS-certifikat och inte sin personliga e-legitimation.
• Detta innebär vidare att även reservkort kan användas för inloggning i Pascal.

Viktigt att stämma av med användare som ska/vill logga in med sitt SITHS-kort:

• Finns all hård och mjukvara installerad för användning av SITHS-kort?
  • Kortläsare
  • Programvara för kortläsare, Net iD
• Har användaren tillgång till sina PIN/PUK-koder
• Vet användaren hur kortet ska användas och hanteras
  • Hur PIN-koder kan ändras?
  • Skillnaden på identifierings- och signeringskod och när vilken ska användas?
  • Skillnaden mellan den personliga e-legitimationen och SITHS-certifikatet samt när respektive ska användas?
  • Vilken programvara som hör till kortet och hur man t.ex. kan se i denna att certifikat finns tillgängliga
• Vet användaren var man bör vända sig med frågor och för support?
  • T.ex. om PIN/PUK-koder saknas?
  • Om de förlorar eller har glömt sitt kort?
  • Om de har behov att spärra sitt kort?
  • Hur kortet kan låsas upp?

Mer information om SITHS finns på Ineras hemsida: https://www.inera.se/siths

Förenklat kan det beskrivas:

Genom att identifiera sig med SITHS-kortet får man åtkomst till den information som finns om medarbetaren i HSA =

• Vilka vårdgivare man tillhör
• Vilka vårdenheter man tillhör
• Vilka arbetsplatskoder man tillhör
• Vilken behörighet Medarbetaruppdraget innehåller samt
• Vilket mobilnr man har (endast för inloggning med egen mobil)

och via säkerhetstjänsterna/IdP

• Ges medarbetaren rätt behörighet och rättigheter i Pascal
  
  
  
  
  
  1. Steg 5 – Support och administration/Frågor och svar

Den enskilde användaren eller personer i dennes närhet bör känna till den egna organisationens HSA och SITHS-hantering och organisation. Många frågor bör och kan bara lösas på plats såsom hjälp med programvara, beställning av ny kod, hjälp med reservkort om personen t.ex. glömt sitt kort eller spärrning av kort.
Inloggning i Pascal bygger på de uppgifter organisationen själv registrerat i HSA och där är det den egna organisationen som kan se över och korrigera eventuella saknade attribut eller uppdrag. Det bör finnas ett fåtal utsedda administratörer som ser över struktur och behörigheter. Utsedda administratörer har möjlighet att följa upp, förändra och begränsa behörighet till Pascal. Rutin för hur detta ska hanteras ska finnas.
Administratörerna kan även ha möjlighet att registrera Vårdgivare, Vårdenhet och Medarbetaruppdrag i HSA-katalogen.

Ankare
_3_Definition_och _3_Definition_och

Ankare
_Toc44405124 _Toc44405124

3 Definition och förklaring

Ankare
_Toc44405125 _Toc44405125

3.1 Patientdatalagen (PDL) och dess begrepp

Patientdatalagen infördes den 1 juli 2008 genom proposition 2007/08:126 och ersatte patientjournallagen och vårdregisterlagen. Patientdatalagen reglerar hur personuppgifter ska hanteras inom hälso- och sjukvården samtidigt som patientsäkerheten och patientens egen möjlighet till medverkan ska stärkas.
Inom Sveriges Kommuner och Regioner (SKR) har projektet PDLiP, "Patientdatalagen i Praktiken", tagit fram två rapporter som förtydligar hur lagen ska hanteras.
I PDL respektive PDLiP används begreppen "Vårdgivare" och "Vårdenhet". Varje organisation som styrs av PDL behöver definiera vilka vårdgivare och vårdenheter som verkar inom eller på uppdrag av organisationen. I PDL ges vårdgivaren ett uttalat ansvar för regelverket för behörighetsstyrning och loggning. Verksamhetschefen är den som tilldelar rättigheter för anställda och uppdragstagare.
HSA används som informationskälla och lagringsplats för behörighetsgrundande egenskaper enligt PDL där så kallade Medarbetaruppdrag lagrar information om syfte och rättigheter. Läs mer under Definition av Medarbetaruppdrag.
Både privat och offentlig sjukvård omfattas av patientdatalagen. För mer information om PDL, se:

• Patientdatalagen (2008:355) https://www.riksdagen.se/sv/dokument-lagar/dokument/svensk-forfattningssamling/patientdatalag-2008355_sfs-2008-355

Definition av vårdgivare

Statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare) (Patientdatalagen 2008:355) (HSLF-FS 2016:40)
Ställningstaganden för Vårdaktörer

• • • • Definiera vårdgivare, vårdenheter och medarbetaruppdrag
        • Vilket perspektiv har använts när man skapat organisatoriska enheter och vårdenheter?

Exempel kan vara ekonomisk, organisatorisk, personal, medicinskt perspektiv.

• • • • • Har man i vård- och omsorgssystemet en gruppering motsvarande begreppet Vårdgivare/Vårdenheter enligt PDL?
        • Finns de organisatoriska enheterna redan inlagda i HSA-katalogen motsvarande Vårdgivare och Vårdenhet enligt definition från PDL?
      • Besluta organisation för underhåll och uppdatering av organisationsuppgifter för vårdgivare/vårdenhet
      • Besluta namnsättning av medarbetaruppdrag
        • Inera rekommenderar namnet "Vård och behandling".
      • Utse verksamhetschefer för vårdenheter
        • Finns Verksamhetscheferna inlagda i HSA-katalogen?
      • Besluta hur externa utförare ska hanteras
      • 
        
        • Finns externa utförare i verksamheten?
        • Ska externa utförare ha tillgång till Pascal?
        • Ska externa utförare finnas i vårdgivarens HSA katalog eller ska externa utförare hantera HSA katalogen själva? Egen katalog kan vara aktuellt för en nationell aktör.
        • Om externa utförare inkluderas i vårdgivarens HSA katalog, hur regleras och beskrivs ansvarsförhållanden. Finns avtal framtagna?

Definition av vårdenhet

Vårdenhet är en organisatorisk enhet som tillhandahåller hälso- och sjukvård och som leds av en verksamhetschef eller motsvarande. Vårdgivare måste på förhand definiera sina vårdenheter då de påverkar behörighetssystem och spärrar. Vårdenhet kan bara spärras inom vårdgivarens verksamhet. Spärr av vårdenhet för andra vårdenheter kan inte omfatta flera vårdgivare.
Vårdgivaren skall bestämma vilka vårdenheter som skall ingå i sammanhållen journalföring och informera patienten om detta (Patientdatalagen i Praktiken reviderad 2009-06-22).
Ställningstaganden för Vårdenheten

• Definiera enheter som ska kopplas till vårdenheten.
  

  Definition av verksamhetschef

Verksamhetschef är den befattningshavare som svarar för verksamheten. Inom tandvården utser vårdgivaren någon som fullgör motsvarande uppgifter. Definition av verksamhetschef finns i hälso- och sjukvårdslagen 29 § " någon som svarar för verksamheten".
Har ni redan idag en definierad verksamhetsansvarig i enlighet med hälso- och sjukvårdslagen 29 § är det den personen som är ytterst ansvarig och då även för de vårdenheter som anges i HSA inom personens verksamhetsområde. Eftersom det står att det är verksamhetschef som ska anges för respektive vårdenhet så är det denna person som ska läggas in.
Det man däremot kan göra är att delegera arbetsuppgifter t.ex. till en sektionschef eller enhetschef. Det är då denna person som utför arbetet i daglig drift men skulle det bli några komplikationer, något som går fel eller något vårdenheten får anmärkningar på så är det på utsedd verksamhetschef som detta slår tillbaka eftersom denne är ansvarig.
För en kommun gäller motsvarande, för kommunens hälso- och sjukvårdsverksamhet ansvarar den medicinskt ansvariga sjuksköterskan eller den sjukgymnast eller arbetsterapeut som fullgör motsvarande uppgifter för att patientjournaler förs i den omfattning som föreskrivs i patientdatalagen (2008:355). Däremot är det alltid verksamhetschefen som är ytterst ansvarig för helheten enligt PDL och den som anges i HSA.

Oavsett vilken delegering som sker av särskilda arbetsuppgifter är det den ytterst ansvarige verksamhetschefen enligt PDL som ska anges i HSA-attributet "verksamhetschef".

Ställningstaganden för Verksamhetschef

• Klargöra verksamhetsuppdraget och förekomsten av deltagande i patientrelaterade aktiviteter
• Tillse att det finns rutiner för (individuell) behörighetstilldelning baserad på aktuella arbetsuppgifter
• Besluta om tilldelning av rättigheter (Medarbetaruppdrag) för respektive uppdragstagare.
• 
  

  Ankare
  _Ref26264156 _Ref26264156

  Definition av Medarbetaruppdrag

De nya kraven i patientdatalagen kring IT-baserad vårddokumentation påverkar enligt patientdatalagen i praktiken (PDLiP) hur användarnas egenskaper ska definieras i IT-systemen. Det måste till exempel gå att unikt identifiera vårdgivare, vårdenheter och användare. Vidare måste det finnas kopplingar mellan vårdenhet och tillhörande användare.
Dessa kopplingar definieras i PDLiP som "medarbetare i uppdrag"; Uppdrag med en uppsättning fördefinierade egenskaper (syften och rättigheter) som när det kopplas till en medarbetare anger i vilken utsträckning och inom vilken giltighetstid denne har behörighet att hantera information inom en enhet, vårdenhet, vårdgivare och/eller i samband med ordination av läkemedel.

Ankare
_Toc44405126 _Toc44405126

3.2 Säkerhetstjänsterna

Säkerhetstjänsterna kan förenklat, ses som ett säkerhetskoncept för att vård- och omsorgssystem ska kunna leva upp till de krav som ställs i enlighet med patientdatalagen. Säkerhetstjänsterna ska utgöra en för användaren osynlig men nödvändig grund för vården och omsorgens IT-stöd såväl lokalt, regionalt som nationellt.
Säkerhetstjänsterna tillsammans med andra säkerhetsprodukter möjliggör samverkan mellan vårdgivare och garanterar att överföring av och tillgång till information inom och mellan organisationer sker på ett enhetligt, säkert och korrekt sätt.