Sikker opbevaring af fysiske dokumenter

Informationer bliver ikke mindre kritiske blot fordi de opbevares på et stykke papir, frem for på en computer. Informationer om andre mennesker skal beskyttes uanset hvilket medie de opbevares på, og eftersom lige præcis psykologer opbevarer en hel del følsomme oplysninger på fysiske papirer er den ”fysiske sikkerhed” på klinikkerne særligt vigtig.

Helbredsoplysninger sælges for øjeblikket på ”The Dark Web” for ml. $ 250-1.000 pr. fortegnelse (!) fordi oplysningerne kan bruges til at skaffe receptpligtig medicin, fremsætte falske forsikringskrav osv.

De mange papirer, der er opmagasineret hos danske psykologer, har derfor en høj pengemæssig værdi hvilket naturligvis kan motivere indbrudstyve og andre kriminelle til at begå ulovligheder.

Det er derfor centralt at man i forhold til sin klinik anerkender at der er en risiko for indbrud og tager de nødvendige sikkerhedsforanstaltninger for at forhindre tyveri af data. Hvis der stjæles fysiske dokumenter i et indbrud, bliver man som psykolog ansvarlig for det databrud, der er sket og kan således potentielt gøres til genstand for bøder, dårlig omtale og andre sanktioner, ligesom tilliden fra ens klienter formentlig vil lide et alvorligt knæk.

1: Hav kun papirerne fremme når du skal bruge dem

Det er vigtigt at du ikke efterlader papirer med personoplysninger frit tilgængeligt på klinikken, og at papirerne gemmes væk et sikkert sted når de ikke længere skal bruges.

Hvis du eksempelvis har uddrag fra journaler, noter og rapporter liggende på skriveborde, i printere og andre lidt tilfældige steder i klinikken, så har du en dårlig fysisk sikkerhed og din risiko for et databrud stiger betragteligt.

Du bør derfor etablere en proces – helst for klinikkens medarbejdere generelt – hvorved der er klare retningslinjer i forhold til hvor papirer om fx klienter opbevares, og hvor det sikres at papirerne er gemt/opbevaret på deres faste lokation medmindre de aktivt bliver brugt fx i en konsultation eller til forberedelse mv.

Hvis dokumenter ikke bliver brugt aktivt, bør de ikke ligge fremme. Du bør i den forbindelse også gøre det klart hvem der skal have koden/nøglen til et evt. sikringsskab og opbevare koden/nøglen et sikkert sted, som du altid vil kunne huske og i øvrigt nemt vil kunne tilgå så dit daglige arbejde ikke besværes for meget.

Printere udgør desuden en særlig risiko fordi folk sender dokumenter til print og glemmer at hente dem. Printere bør derfor placeres hvor der kun er adgang for medarbejdere. Derudover kan der med fordel implementeres ”Follow Me Printing” hvor der altså kun kan printes når den rette bruger står foran printeren.

2: Brug aflåste skabe til sikker opbevaring

Udover at have en solid proces på plads i forhold til hvor og hvordan du opbevarer dine dokumenter, er det vigtigt at du benytter sikrede skabe til (som minimum) de mest følsomme dokumenter.

Hvis en indbrudstyv får adgang til klinikken, er den eneste tilbageværende forsvarsmekanisme det sikringsskab (eller ’pengeskab’), oplysningerne er opbevaret i.

Sikringsskabe fås i forskellige ”klasser”, som definerer deres modstandsevne over for indbrudsangreb – altså hvor svært det er at bryde ind i skabet – og dette skal være afpasset til, hvor lang tid der kan gå før en alarm/vagt kan forventes at afbryde tyven i sit arbejde.

Et sikringsskab bør desuden enten være fæstnet til en bygningsdel (fx et gulv) eller være så stort at en eller flere indbrudstyve ikke bare kan tage skabet med og åbne det på et senere tidspunkt.

Vær opmærksom på, at det vigtige her er at oplysningerne ikke bliver stjålet. Det vigtige er ikke om der bruges et skab eller hvilke andre metoder man ellers gør brug af, så længe man selv er overbevist om at sikkerheden er i top. Det vil derfor også være muligt at opbevare dokumenterne i et bestemt rum som fx kan være særligt svært at bryde ind i pga. bestemte låse på døren eller lignende.

3: Slet dokumenter når du ikke længere skal bruge dem

Det siger sig selv, at jo flere papirer du sletter desto mindre vil den negative effekt af et evt. databrud også være. Det er bl.a. en af grundene til at sletning er et af de mest centrale emner i GDPR, og et af de emner, der i Danmark har udløst de største bøder.

For psykologer står den væsentligste regel om sletning i bekendtgørelsen med den simple titel ”bekendtgørelse om autoriserede psykologers pligt til at føre ordnede optegnelser”. Her er det anført, at der er en pligt til at opbevare journaler i 5 år efter seneste tilførsel til journalen.

Reglen eksisterer selvfølgelig så det er muligt i en 5-årig periode at føre tilbage til specifikke oplysninger i et behandlingsforløb.

Det kan man sagtens gøre ved brug af blot én journal, og eftersom denne typisk opbevares digitalt, skal man ikke nødvendigvis opbevare de journaler man måtte have printet ud i en lige så lang periode. Det samme gælder noter og andet, som måtte blive opbevaret som fysiske dokumenter.

Det første du bør gøre, er derfor at tage stilling til hvor lang tid du reelt har et behov for at have de papirer, du opbevarer. Dette skal du gøre ud fra devicen ”need to have” i stedet for ”nice to have”.

Hvis du fx historisk har kunnet se, at du har haft behov for de fysiske dokumenter for at kunne se 3 år tilbage i tid (men ikke længere end det), så må formodningen være at det samme vil gælde fremadrettet, dvs. en 3-års frist for det pågældende dokument vil være godt.

Vær dog opmærksom på, at hvis der er en igangværende klage- eller erstatningssag eller hvis du mistænker at en sådan kan opstå, skal du beholde oplysningerne indtil sagen er afsluttet eller forældet.

Vær også opmærksom på, at fakturaer og andre regnskabsoplysninger skal opbevares i 5 år efter bogføringsloven, men da du nu også er forpligtet til at bruge et digitalt bogføringssystem (som derfor indeholder en digital version af fakturaerne), bør du lave den samme øvelse og altså fastsætte din egen sletningsfrist baseret på dit historiske behov for evt. fysiske fakturaer.

Det næste du bør gøre, er at planlægge hvordan du ønsker at slette oplysningerne, når sletningsfristen er nået. Det er vigtigt at du ikke bare smider papiret i skraldespanden da de kan blive opsamlet af folk, som ikke bør se dem. Papirerne skal destrueres så oplysningerne på ingen måde er genkaldelige.

Det anbefales derfor at du bruger en makulator og helst en krydsmakulator, som skærer papirerne i både vertikale og horisontale stykker, hvilket gør det praktisk talt umuligt at genskabe dokumenterne. Makulatoren skal også opfylde sikkerhedsniveau P-4 eller derover. Du kan skaffe en online for ca. 500 kroner – sørg blot for at se efter begreberne ”P-4” og ”krydsmakulator”.

Endeligt skal du blot fastsætte 1-2 tidspunkter på året hvor du sletter de fysiske dokumenter, der er blevet ”for gamle”, dvs. sletningsfristen er indtrådt.

4: Opsæt alarmer, kameraer og adgangsstyring

Sikkerhedssystemer som alarmer og kameraer er essentielle for at beskytte din klinik. Det samme er ”adgangsstyring”, som blot betyder at du har styr på hvem der har adgang til klinikken samt de rum/skabe osv. hvor der opbevares personoplysninger.

Alarmer: Et effektivt alarmsystem kan afskrække potentielle indbrudstyve og sende øjeblikkelig notifikation til sikkerhedsfolk eller politik, hvis der opdages uautoriseret adgang. Det giver således evt. indbrudstyve en begrænset tidsperiode til at operere i og forøger deres stressniveau. Sørg for, at alarmsystemet dækker alle potentielle indgangspunkter og test minimum 2 gange om året at systemet fungerer som det skal.

Overvågningskameraer: Installation af videoovervågning kan også være en afgørende faktor for sikkerheden i din klinik. Kameraer skal placeres strategisk for at overvåge vigtige områder, hvilket særligt gælder potentielle indgange til klinikken samt de steder, hvor der opbevares følsomme dokumenter.

Adgangsstyring: Noget af det allervigtigste for dine dokumenters sikkerhed er, at du har fuldstændig kontrol med hvem der har adgang til hvilke områder af klinikken. Sørg for at fx nøglekort, adgangskoder osv. inddrages eller tilpasses hurtigt hvis medarbejdere finder job et andet sted, og sørg for løbende at revidér hvem der har adgang, så kun autoriseret personale har adgang til sensitive områder.

5: Brug en letforståelig databrudsprocedure

Hvis indbrudstyve eller andre har succes med at stjæle personoplysninger fra klinikken, er der sket et databrud (eller som det hedder på GDPR-sprog, et ’brud på persondatasikkerheden’).

GDPR stiller en række klare krav til hvad der skal ske herefter, og du bør derfor være i besiddelse af en procedure, som du øjeblikkeligt kan trække frem og handle ud fra. Privanize stiller en procedure til rådighed, som på en simpel måde indeholder alle de påkrævede skridt og de væsentligste oplistes her:

Registrering af brud: Uanset om der er tale om et mindre eller et større databrud, skal bruddet altid registreres internt. Her skal det bl.a. beskrives hvad der er sket, hvornår det er sket og hvordan man har forholdt sig til bruddet, herunder hvilke parter, der er blevet orienteret om bruddet.

Indberetning af brud: GDPR kræver, at databrud indberettes til Datatilsynet senest inden for 72 timer efter opdagelsen, hvis det er sandsynligt at bruddet har udgjort en risiko for ”de registreredes rettigheder og friheder”. Hvis der er blevet stjålet helbredsoplysninger, vil dette krav altid være opfyldt, dvs. i sådan et tilfælde skal der altid rapporteres til Datatilsynet, hvilket gøres via et spørgeskema på Datatilsynets hjemmeside.

Notifikation til de berørte: Udover at rapportere til Datatilsynet, kan det også være nødvendigt at informere de berørte personer hvis bruddet er særligt risikabelt. Formålet er her, at de bliver gjort bekendt med at man nu har mistet kontrollen med deres oplysninger, så de kan tage beskyttende skridt. Kommunikationen bør være klar, præcis og indeholde oplysninger om, hvilke skridt de berørte kan tage for at beskytte sig selv.

Evaluering og respons: Efter håndteringen af bruddet samt evt. rapportering, er det vigtigt at evaluere årsagen og omstændighederne omkring bruddet. Hvordan skete det, og hvilke skridt kan man tage for at undgå at det sker igen? Man bør her lave en grundig undersøgelse af hvad der gik galt, og hvilke sikkerhedshuller der skal lukkes.

Med en databrudsprocedure fra Privanize får du ikke bare en klar step-by-step vejledning, som du kan bruge hvis du oplever et databrud. Proceduren indeholder også skabeloner til fx at orientere berørte personer og at registrere sine databrud internt. Skabelonerne er baseret på situationer fra virkeligheden og det er derfor efterprøvet at både proceduren og skabelonerne fungerer og overholder samtlige krav i GDPR.