Helseplattformen lagrer ikke data i USA

Norsk lagring, behandling, drift og forvaltning

Helseplattformen driftes, utvikles og forvaltes av det norske selskapet Helseplattformen AS, som også har databehandlingsansvar.  

Helseplattformen AS har ca. 370 ansatte og har hovedkontor i Trondheim. All data fra Helseplattformen lagres i Norge og driftes av Hemit HF (ekstern lenke).

Programvare og tjenester fra Epic 

Amerikanske Epic er leverandøren av programvaren til Helseplattformen.  Det er kun programvaren som leveres fra Epic, Helseplattformen har ikke lagring eller andre skybaserte tjenester fra Epic. 

Epic leverer også teknisk støtte ved oppgraderinger og bistand til feilretting av programvaren ved behov.  

I forbindelse med teknisk support gjøres all samhandling med Epic gjennom et supportsystem som ikke inneholder helseopplysninger.   Alle overføringer av data overføres kryptert og er regulert i en SCC (Standard Contractual Clauses). 

Tilganger 

Epic har ikke tilgang til å lagre og behandle helseopplysninger.  

I enkelte supportsituasjoner er det nødvendig med tilgang til deler av pasientjournalen Helseplattformen for å kunne yte effektiv teknisk support.

 I slike tilfeller kan utpekte spesialister fra Epic gis tilgang til Helseplattformen. Denne tilgangen gis etter instruks fra autorisert personell i Helseplattformen.  

Alle som får tilgang til pasientjournalen, inkludert teknisk supportspesialister fra Epic, er underlagt taushetsplikten . Forsettlig eller grovt uaktsomt brudd på lovbestemt taushetsplikt kan medføre straffeansvar, jf straffelovens §§ 209, 210 og 211.  

Helseplattformen har en egen enhet for tilgangsstyring som følger opp prosedyrer for bestilling og oppfølging av tilganger.  

Kontinuerlig risikovurdering 

Helseplattformen har prosedyrer og systemer for å fange opp eventuell risiko og for å sette i gang nødvendige tiltak. Tiltakene gjøres for å begrense risiko ved avvik og for å forhindre lignende avvik i fremtiden. 

Helseplattformen har en pågående revisjon av databehandleravtalen med Epic for å best mulig ivareta at avtalen sikrer overholdelse av norsk lov.  

På grunn av mulige politiske endringer i USA, har Helseplattformen høynet oppmerksomhet på området og vil også ettergå prosedyrene Epic har for sitt supportsystem.

Helseplattformen vil også vurdere å innføre krav om at all support skal utføres fra Europa.  

Prosedyre ved avvik

Dersom det oppstår avvik knyttet til lagring og behandling av data, fanges det opp av avvikshåndteringsystemet til Helseplattformen.

Avviket meldes inn til Datatilsynet innen 72 timer og følges opp av risikoansvarlige og eventuelt personvernombud og personvernrådgiver fra Helseplattformen AS.