Spørgsmål og svar om GDPR i almen praksis

Når du modtager databehandleraftalen skal der øverst på aftalen fremgå bomærket fra advokatfirmaet Bruun & Hjejle. PLO vil desuden, på flere medlemmers anmodning, foretage stikprøver for at tjekke, at der er anvendt den rigtige aftale. 

Udover databehandleraftalen med dit systemhus, som dækker ”hovedvejen” af de data, som sendes ud af klinikken til fx offentlige sundhedsaktører via MedCom-beskeder, har du allerede i dag databehandleraftaler med en række andre aktører, der behandler data på dine vegne. Disse er:

• DMDD ift. Laboratoriesvar (WebReq)
• DMDD ift. Webpatient (spørgeskemaer)
• DAK-E (Digitale Forløbsplaner)
• Sundhed.dk (Praksis- og afregningsportalen)

Du vil få tilsendt (opdaterede) databehandleraftaler fra disse og skal ikke foretage dig noget. 

I din egenskab af arbejdsgiver skal du have en databehandleraftale med din lønanviser. Du kan finde mere information herom på PLA's hjemmeside.

En backupleverandør er databehandler for den dataansvarlige læge, da opbevaring af data er databehandling. Du skal derfor indgå en databehandleraftale med backupleverandøren.

Hvis leverandøren kommer med et aftaleforslag kan dette gennemgås ved hjælp af en checkliste til indhold i databehandleraftalen.

Du skal huske at tilføje din backupleverandør til din artikel 30-fortegnelse, ligesom du skal sikre dig, at de fremsender databehandleraftalen.

Forordningen er tavs om cpr-nummer, men spørgsmålet er reguleret i den nye danske databeskyttelseslov. I lovens §11 er der åbnet op for at private kan behandle oplysninger om cpr-nummer, når videregivelsen er et led i virksomhedens normale drift. Med denne hjemmel finder PLO at en løsning med IP-telefoni uden en databehandleraftale må være mulig.

Se dette eksempel fra Datatilsynet: 

”Virksomhed A hyrer en reparatør til at reparere virksomhedens kopimaskine, hvori der kan være gemt dokumenter med personoplysninger. Aftalen mellem virksomhed A og reparatøren går ud på, at reparatøren skal reparere virksomhed A’s kopimaskine. Virksomhed A vil i denne situation ikke benytte reparatøren som databehandler, fordi aftalen mellem parterne hverken helt eller delvist går ud på, at reparatøren skal behandle personoplysninger på vegne af virksomhed A. Hvis der er risiko for, at reparatøren i forbindelse med sin reparation får adgang til personoplysninger, kan virksomhed A – som led i sine almindelige sikkerhedsforanstaltninger – bede reparatøren om at underskrive en tavshedspligtserklæring.”

Nej, medarbejderen er ikke din databehandler, men en del af den dataansvarliges organisation/virksomhed.

Ja, hvis du har en ekstern bogholder til at lave løn for dig, kræver det en databehandleraftale. PLA kan henvise dig til Datatilsynets standardaftale. Læs mere på pla.dk

Hvis din revisor alene laver årsregnskab for dig, er der tale om en lovhjemlet videregivelse af data. Dermed er revisoren selvstændig dataansvarlig, og der skal ikke være en databehandleraftale.

Udfører revisoren tillige bogholderifunktioner, se ovenstående svar.

I den databehandleraftale, PLO har forhandlet på dine vegne med systemhusene, er der en bestemmelse om, at systemhuset skal udarbejde en årlig rapport over it-sikkerheden. Som lille dataansvarlig virksomhed er det i praksis den mest realistiske måde at løfte ansvaret for at føre tilsyn med sin databehandler. 

Også de øvrige databehandleraftaler, som PLO har indflydelse på, forsøger vi at forsyne med en revisionsbestemmelse. Det drejer sig blandet andet om DMDD (WebReq) og DAK-E (digitale forløbsplaner).

Dette har Sundhedsdatastyrelsen svaret på i deres vejledning om informationssikkerhed med henvisning til sikkerhedsbekendtgørelsen. PLO gør opmærksom op, at sikkerhedsbekendtgørelsen ikke direkte gælder for almen praksis, men kan siges at fastlægge en branchestandard. 

Sundhedsdatastyrelsen skriver:

”Hvis man ønsker at anvende mobilt udstyr til at indsamle, lagre eller kommunikere sundhedsoplysninger, f.eks. i forbindelse med et telemedicinsk projekt e.l., skal den dataansvarlige sikre sig, at det anvendte udstyr og anvendte Apps overholder sikkerhedsbekendtgørelsens krav. Det betyder, at hvis data lagres på den mobile enhed, skal data være krypteret og der skal være adgangskontrol til enheden.” 

Kilde: Sundhedsdatastyrelsen, Vejledning om informationssikkerhed, 2016, s. 74

Udover den egentlige kontrakt på serviceydelsen skal der også være en databehandleraftale, da leverandøren foretager behandling af personoplysninger på lægens vegne.

Efter databeskyttelsesloven (§29) har Datatilsynet mulighed for at komme på uanmeldt inspektion både hos offentlige og private dataansvarlige. Oftest vil tilsynet dog have meldt sin ankomst først og kontrolbesøget vil foregå i god dialog med den dataansvarlige (Klinikejeren). 

Tilsynet vil ikke nødvendigvis foretage et 360 graders-eftersyn, men vil sandsynligvis koncentrere sig om de væsentligste dokumenter, som PLO har udarbejdet skabeloner til, ligesom de vil se på It-sikkerheden generelt i klinikken (fysiske rammer).

Hvis lægen har sendt personfølsomt materialet til en forkert modtager, eller lægen selv fejlagtigt har modtaget fx en henvisning fra en kollega, bør det ikke i sig selv give anledning til at kontakte Datatilsynet. Det fremgår af tilsynets vejledning om sikkerhedsbrud: 

”Hvis det er den dataansvarlige bevidst, at de involverede personoplysninger er endt i hænderne på kriminelle personer, som forventes at have onde hensigter med deres kendskab til oplysningerne, vil dette kunne have stor betydning for risikovurderingen. Hvis oplysningerne omvendt er endt hos en forkert modtager, som den dataansvarlige har stor tillid til og forventer vil tilbagelevere eller destruere oplysningerne efter instruks fra den dataansvarlige, vil dette kunne føre til, at den dataansvarlige vurderer, at der ikke er konsekvenser forbundet med videregivelsen, og at der derfor ikke skal ske anmeldelse til Datatilsynet. Den dataansvarlige bør dog være sikker i sin sag, når modtagerens troværdighed tillægges betydning for denne vurdering. Den dataansvarlige bør samtidig – hvis muligt – sikre sig dokumentation for, at vedkommende ikke længere har rådighed over oplysningerne.”

Det er ikke alle sikkerhedsbrud, der nødvendiggør underretning af Datatilsynet og patienterne, men i situationer, hvor underretningspligten gælder, skal den opfyldes inden for meget stramme tidsfrister (uden unødigt ophold og inden for 72 timer til Datatilsynet).

Underretningspligten gælder udelukkende for data, hvor lægen er dataansvarlig.

Hvis systemhuset er involveret i sikkerhedsbruddet, skal du straks tage kontakt til systemhuset, da de har et ansvar for at hjælpe dig.

PLO anbefaler, at du i tilfælde af eventuel sikkerhedsbrud rådfører dig med PLO.

Dette er reguleret i databehandleraftalen.

Måtte uheldet være ude, skal anmeldelsen til Datatilsynet indeholde følgende:

• En beskrivelse af karakteren af bruddet, herunder om muligt, kategorierne og antal berørte registrerede samt kategorierne og antal berørte registreringer af personoplysninger.
• En beskrivelse af de sandsynlige konsekvenser af bruddet.
• En beskrivelse af de foranstaltninger der er truffet for at håndtere bruddet.
• Kontaktoplysninger på den klinikkens kontaktperson.

Der skal også ske underretning af de registrerede (patienterne) i nogle tilfælde.

Denne underretningspligt gælder, hvis bruddet sandsynligvis vil indebære en høj risiko for den registreredes rettigheder, fx hvis det kan føre til identitetstyveri.

Datatilsynet vil rådgive om, hvorvidt der skal ske underretning af registrerede som følge af sikkerhedsbrud.

Klinikken kan undlade at anmelde til Datatilsynet, hvis det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for den registrerede.

Det kan fx være tilfældet, hvis bruddet er stoppet og personoplysningerne ikke er identificérbare for udenforstående ved at der er sket kryptering.

Overordnet kan man sige, at du, for at leve op til den kommende persondataforordnings bestemmelser, skal:

• dokumentere, hvilke patientdata du opbevarer i din klinik, hvad de anvendes til, og hvem de deles med
• fremvise dokumentation til Datatilsynet gennem en artikel 30-fortegnelse, hvis de kommer på inspektionsbesøg og kunne redegøre for de lovkrav, der er årsagen til, at du behandler patientoplysninger, hvis Datatilsynet beder om det.
• sikre, at der foreligger en databehandleraftale mellem dig og dit systemhus, og at dens indhold lever op til forordningens krav (aftale sendes fra systemhuset til underskrift)
• sikre, at der er foretaget de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af patientdata i din klinik.
• sikre overholdelse af reglerne om underretning af Datatilsynet og patienter ved sikkerhedsbrud, se nærmere ovenfor.

Ja, patienten har både med den nuværende sundhedslovgivning og med den nye persondataforordning fuld indsigtsret i sin egen journal. I dag udleverer den praktiserende læge, efter anmodning fra patienten, en fuld kopi af journalen.

Du har som dataansvarlig pligt til at udarbejde og løbende opdatere dokumentation for alle klinikkens databehandlingsaktiviteter i en såkaldt artikel 30 fortegnelse. Dokumentationen skal foreligge skriftligt og elektronisk, så den på anmodning kan udleveres til Datatilsynet. 

Du kan også forelægge denne dokumentation, når en patient vil vide mere om, hvem der er modtagere af patientens helbredsoplysninger og hvad oplysningerne bruges til.

Du skal som praktiserende læge give dine patienter en række informationer om, hvordan og til hvilke formål du behandler personfølsomme oplysninger om patienterne. Disse oplysninger kan gives via en privatlivspolitik.

Privatlivspolitikken kan offentliggøres via din hjemmeside og den bør altid forefindes i papirform på et synligt sted i klinikken.

PLO har i samarbejde med advokatfirmaet Kromann Reumert udarbejdet et udkast til en privatlivspolitik, som du kan bruge. Der er tale om et udkast, som du selv skal udbygge, tilrette og slette i, hvis der er brug for det i forhold til din klinik.

Opbevaringspligten løber som udgangspunkt i 10 år fra sidste optegnelse i journalen. Efter journalføringsbekendtgørelsen overgår opbevaringspligten for journalen til den nye læge i forbindelse med lægeskift. Dermed har den afleverende læge ikke længere pligt til at opbevare journalen.

PLO har modtaget flere henvendelser fra læger, som oplever at overdragelsen af journaler fra et lægesystem til et andet har mangler. PLO vil indgå i en dialog med lægesystemerne, så dette problem søges løst.

Indtil der foreligger en teknisk løsning, der indebærer at lægen får en kvittering for gennemført journaloverførsel, kan den afleverende læge anmode den nye læge om at kvittere for modtagelsen gennem en korrespondancemeddelelse.  

Patienters journaler skal som udgangspunkt ikke opbevares hos patientens tidligere læge efter overdragelse til en ny læge, medmindre der f.eks. er en igangværende tvist med patienten, eller hvis patienten ikke har samtykket til, at journalen overdrages til patientens nye læge. Læger med passanter, som kommer igen år efter år, kan dog opbevare journalerne i opbevaringsperioden.

PLO anbefaler, at lægeklinikkerne løbende undersøger om de journaler, der burde være slettet (f.eks. fordi den 10-årige opbevaringsperiode er udløbet) faktisk også er slettet. Sådan en stikprøveundersøgelse/kontrol kan f.eks. ske en gang om året eller hver halve år.

Hvis patienten har ønsket, at journalen ikke skal videregives til den nye læge, gælder Journalføringsbekendtgørelsens § 46, stk. 4: ”Hvis en patient ikke ønsker sin patientjournal overdraget i den i stk. 1 og 2 nævnte situation [det vil sige når patienten vælger et andet behandlingssted], skal det tidligere behandlingssted fortsat opbevare patientjournalen indtil udløbet af opbevaringsperioden, jf. § 35.”

Når din klinik ophører, og klinikken ikke overdrages til fortsat drift, skal du sørge for, at patientjournaler overdrages.

Patientjournalerne skal som udgangspunkt overdrages til Styrelsen for Patientsikkerhed. Styrelsen for Patientsikkerhed vil derefter opbevare journalerne indtil opbevaringspligten udløbet, eller indtil patienten f.eks. ønsker, at journalen overdrages til patientens nye læge.

Hvis patienten har fået tildelt en ny praktiserende læge, kan du i stedet vælge at overdrage journalen til patientens nye læge, hvis patienten tilkendegiver, at patienten ønsker det.

Pligten til at overdrage journalerne påhviler ledelsen i den ophørende klinik, og pligten til overdragelse gælder også ved midlertidig eller permanent fratagelse af autorisation. Hvis klinikken ophører på grund af konkurs eller ejerens død, skal boet sørge for, at journalerne overdrages.

Når en medarbejder stopper, skal du sørge for at slette medarbejderens brugeradgang til dit journaliseringssystem.

Du må og skal ikke slette navnet, initialer eller anden entydig identifikation af medarbejderen, hvis vedkommende har udført behandling af patienten.

Informationssikkerhed gælder ikke kun for oplysninger, der opbevares i forskellige it-løsninger, men handler også om oplysninger på papir, billeder, video m.v. Det er derfor vigtigt, at man også tænker på den fysiske sikkerhed for, at f.eks. uvedkommende ikke kan få adgang til fortrolige oplysninger. Man skal derfor ved indretning af lokaler, hvor der kommer patienter og pårørende, være opmærksom på, hvordan man placerer printere, skærme, storskærme og oversigtstavler, så de ikke giver mulighed for, at uvedkommende kan skaffe sig oplysninger, de ikke er berettigede til at se.

Ved sikring af de fysiske rammer i klinikken skal du være opmærksom på, at tiltag bør overvejes ift. det aktuelle tekniske niveau og implementeringsomkostningerne for klinikken. Du bør således have en risikobaseret tilgang til de indsatser, der skal implementeres, så indsatsen er passende ift. risikoen for læk af oplysninger.

Datatilsynet har givet svar på dette spørgsmål på deres hjemmeside under siden Krav til datasikkerhed i forbindelse med personaleadministration. På Datatilsynets hjemmeside fremgår en liste med minimumskrav, som man kan støtte sig til. Af listen fremgår bl.a. 

• ”Adgang til oplysningerne skal begrænses til personer, der har et sagligt behov for adgang til oplysningerne. Det skal være så få personer som muligt.”
• ”Personoplysninger på papir – f.eks. i kartoteker og ringbind –opbevares aflåst, når de ikke er i brug.”
• ”Når dokumenter med personoplysninger skal smides ud, skal der anvendes makulering eller anden foranstaltning, der forhindrer, at uvedkommende kan få adgang til oplysningerne.”

Når Datatilsynet anlægger dette syn på personaleadministration, må det gælde desto mere ved patientoplysninger.

Datatilsynet har svaret på dette spørgsmål. Af §14 i Vejledning til bekendtgørelse nr. 528 (af 15. juni 2000) om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning fremgår følgende svar på håndteringen af fax: 

”Ved brug af telefax skal opmærksomheden særligt været rettet mod, dels risikoen for at faxen sendes til forkert modtager, dels at den modtagne fax kan være tilgængelig for uvedkommende hos modtageren. Ved afsendelse af faxer skal det angivne telefaxnummer kontrolleres nøje. Anvendelse af fastindkodede telefaxnumre (kortvalg) kan ligeledes overvejes. For så vidt angår behandlingen af modtagne faxer bør telefaxmaskinen placeres således, at uvedkommende ikke umiddelbart har adgang til modtagne faxer. Ved anvendelse af telefax i forbindelse med mere følsomme oplysninger kan en løsning være at anvende udstyr, som lagrer modtagne faxer i maskinen, og kun lade specielt autoriserede medarbejdere udskrive dem. Ved transmission af personoplysninger over opkaldsforbindelser (via analog telefonforbindelse, ISDN, mobiltelefon etc.), f.eks. ved etablering af terminaladgang til et centralt system fra en bærbar pc, skal der specielt træffes foranstaltninger mod, at uvedkommende kan foretage opkald. Det kan bl.a. være relevant at anvende faciliteter som tilbagekald eller lukkede brugergrupper. For transmission af personoplysninger over åbne net (f.eks. Internet) gælder konkret nedenstående minimumskrav om sikkerhedsforanstaltninger: Ved transmission af oplysninger over det åbne Internet er der generelt en risiko for, at oplysningerne undervejs læses og endog ændres af uvedkommende. Derudover er der en risiko for, at parterne i kommunikationen ikke er dem, de udgiver sig for. Disse risici må vurderes af den dataansvarlige i den konkrete situation, således at der kan træffes de fornødne sikkerhedsforanstaltninger. Hvad angår fortrolighed kan denne sikres ved forsvarlig kryptering af de transmitterede oplysninger. Hvis der er tale om transmission af fortrolige oplysninger, herunder personnummer, skal der som minimum foretages en kryptering. Hvis de transmitterede oplysninger er af følsom karakter (omfattet af persondatalovens § 7, stk. 1 og § 8, stk. 1), skal der anvendes en stærk kryptering, baseret på en anerkendt algoritme.”

Hvis du selv har serveren stående i klinikken, skal du være opmærksom på om serveren er tilstrækkeligt sikret mod uvedkommendes adgang. Der bør ikke, opbevares uvedkommende brandbare genstande i serverrummet, og at der ikke er øget risiko for vandskader som følge af fx gammel rørføring.

Der findes flere skabsløsninger (rackskab eller kabinet-skab) til sikring af serveren, som kan låses og fastsættes til væggen. Dette vil forbedre den fysiske sikkerheden omkring din server.

Der indkøbes meget forskellig hardware i almen praksis og enhederne kan sættes op på forskellige måder. Derfor er det svært at give et klart svar, som dækker hele området. 

For så vidt angår arbejdscomputeren, der anvender Windows, er vores råd til sikker opsætning at sætte:

• sæt password på minimum 12 karakterer
• installer antivirus og firewall - husk at sætte dem til automatisk at opdatere
• undgå at være administrator på din PC

Der er ingen grund til at være administrator for at udføre sit daglige arbejde, det er en rolle, man påtager sig i enkelte situationer.

Derfor er det en rigtig god ide at have en brugerkonto til normal brug, og en separat administratorkonto til brug for nye installationer eller andet.

Slå automatisk opdatering til alle de steder, hvor du bliver bedt om det, og husk at installere nye opdateringer, så snart du bliver bedt om det. Alternativt kan du hente og installere programmer til at holde øje med opdatering af standard-tredjeparts-produkter. Det stopper også malware fra at komme ind fra kendte ondsindede hjemmesider. 

For printere og andet hardware er der som almindelig bruger to ting, du skal gøre; 

1. Husk altid at installere den nyeste software (ofte kaldet firmware) på din router, printer osv.
2. De fleste hardwareprodukter (fx printere, routere osv.) har en webside, hvor man kan ændre indstillinger, som er beskyttet af et brugernavn og password. Det er vigtigt, at du ændrer dette, da brugernavn og password ofte er helt standard, som fx admin/admin eller admin/password.

PLO anbefaler ikke at bruge arbejdscomputeren til privat brug. Det sikreste vil være at købe sig en computer, der bruges privat.

Hvis det alligevel er nødvendigt af forskellige årsager kan det være en god ide at have to forskellige brugere/logins til computeren.

Den ene bruger har de administrative rettigheder over computeren, den anden ikke. Til almindelig privat brug af computeren, hvor du bruger applikationer, surfer på nettet og tjekker private mails, bør du logge ind som den bruger, der ikke har de administrative rettigheder. Hermed reducerer du risikoen for, at malware kan installeres på din computer, og at hackere får adgang til den.

Alternativt kan du bruge din mobiltelefon til privat brug, og når du tilgår sociale medier, så du undgår at bruge dette på din arbejdscomputer.

Det anbefales at du bruger en sikker og krypteret forbindelse, når du arbejder hjemmefra og tilgår oplysninger på klinikkens server. En sikker og krypteret forbindelse kaldes også et Virtuelt Privat Netværk (VPN). VPN skaber en sikker forbindelse imellem to systemer, så ingen kan ”opsnappe” information, når data transmitteres mellem de to systemer. Rent praktisk betyder en VPN ikke noget for sikkerheden for de to systemer, som VPN skaber forbindelse mellem. Hvis din private PC er hacket, når du åbner den krypterede forbindelse, vil hackeren formentlig alligevel kunne kigge med. 

Derfor er du nødt til at opretholde en god sikkerhed på din hjemmecomputer, fx ved at have et stærkt password, bruge en god antivirus og firewall og slå automatisk opdatering til. 

Du kan forbedre sikkerheden ved brug af VPN ved at have multifaktor-login, hver gang du skal benytte VPN-forbindelsen.

Det kan være svært at gennemskue, hvad der er sikkert, når man går på internettet. Forsøg så vidt muligt at undgå hjemmesider med mærkelige navne og tegn i adressen.

Helt overordnet anbefales det at undgå brug af sociale medier på din arbejdscomputer, men ofte er arbejdscomputeren også din private. Hvis du bruger internettet og lander på en hjemmeside, som ser mistænkelig ud, skal du lukke siden med det samme. Det kan f.eks. være sider med mange stavefejl. Selv når du går ind på anerkendte hjemmesider, kan du støde på links af skadelig karakter.

For at kontrollere troværdigheden af et link kan du sætte musepilen hen over link-teksten. Stemmer teksten, der fremkommer, overens med, hvad du forventer i forhold til navn og emne, er den formentlig sikker. Er der stavefejl eller forekommer teksten kryptisk, des mere skal du være på vagt. Eksempelvis kan bannerreklamer indeholde links til skadelige hjemmesider og virus.

Den bedste måde at sikre sig på, er altid have et opdateret antivirusprogram. Her kan du sætte computeren til at opdatere automatisk, hvis det er muligt. Hold dit styresystem (Windows, MacOS, Linux) og office-pakke opdateret og opdatér altid, når gængse programmer som Java, Adobe Reader, Flash og diverse browsere anmoder om det. Således bliver din computer mindre sårbar over for angreb. Sæt også dem til at opdatere automatisk, hvis det er muligt.

PLO anbefaler, at du har passwords med minimum 12 karakterer og at disse udskiftes hver 3. måned.

I en travl hverdag kan man komme til at glemme at låse sin computer, når man forlader den, og har man samtidig svært ved at huske sine passwords bliver løsningen nogen gange, at man anvender meget enkle passwords som ikke har tilstrækkelig sikkerhed. 

Der findes en række løsninger på markedet, der er forholdsvis billige og som både kan give høj sikkerhed på passwords og automatisk hjælpe dig med at huske passwords. Dette er fx softwareløsninger, som hjælper dig med at holde styr på passwords eller små digitale nøgleringe, som generer en talrække, du skal indtaste sammen med dit simple password, hvormed du får et to-faktor-login, der har en meget høj sikkerhed. 

Der findes også mere smarte digitale løsninger, som fx kan låse din computer, når du forlader den og automatisk åbne din computer igen, når du nærmer dig computeren.

Der findes systemer, som kan håndtere dette. Alternativt skal man vente med at gøre fotoet personhenførbart til det kommer ind i journalen. 
Visse klinikker har valgt at have en telefon eller digitalkamera til klinikken, som udelukkende anvendes til klinikformål.

Links i emails er ofte en indgang til at kompromittere din computer. Det betyder dog ikke, at man ikke må trykke på links. For at kontrollere troværdigheden af et link kan du sætte musepilen hen over link-teksten. Stemmer teksten, der fremkommer, overens med, hvad du forventer i forhold til navn og emne, så kan du trykt klikke på linket.
Er der stavefejl eller forekommer teksten kryptisk, des mere skal du være på vagt.

Når du sender en almindelig e-mail, svarer det til at sende et åbent postkort med posten. Alle kan i princippet læse med. Sikker e-mail svarer til at putte dit postkort i en konvolut, der kun kan åbnes af den rigtige modtager. 

Vær opmærksom på, at standard webmail-løsninger, som fx Hotmail, Gmail, Yahoo Mail, osv. ikke er sikre mailtjenester og der tages ikke backup af data, som opbevares i en gratis webmail-løsning. 

Hvis der opbevares personoplysninger (fx patientoplysninger eller oplysninger om dit klinikpersonale) på webmail skal du have en databehandleraftale med den pågældende leverandør. 

Leverandører uden for EU er ikke omfattet af bestemmelserne i EU’s persondataforodning, og du skal derfor sikre dig, at løsningen lever op til persondatalovens og sikkerhedsbekendtgørelsens krav, herunder at der er indgået en databehandleraftale og en EU-modelkontrakt, hvis der er tale om en leverandør i et usikkert tredjeland.

Når du sender personoplysninger over en webløsning til erhverv, skal forsendelsen ligeledes være krypteret, før det er lovligt at sende personoplysninger via en sådan mail. Som udgangspunkt er webløsningerne ikke krypteret, men der findes programmer til nogle erhvervsløsninger, som kan kryptere oplysningerne, hvormed du kan sende personoplysninger.

PLO anbefaler, at du ikke anvender en cloudløsning til at opbevare personoplysninger. I det tilfælde, at du alligevel vælger at anvende en cloudløsning, skal du sikre dig, at løsningen lever op til persondatalovens og sikkerhedsbekendtgørelsens krav, herunder at der er indgået en databehandleraftale og en EU-standardkontrakt, hvis der er tale om en leverandør i et usikkert tredjeland.

Der er ikke noget i forordningen, der kræver en sådan forsikring. 

Lægeforeningen har et strategisk samarbejde med Tryg, hvor mange medlemmer har deres klinikforsikring. PLO er bekendt med, at modulet om cyberforsikring bliver gratis i nær fremtid. PLO rådgiver iøvrigt ikke om forsikringsforhold, men henviser at anvende den rådgiver/assurandør eller lignende, som klinikken i øvrigt anvender.

PLO finder ikke, at der er krav om, at almen praksis skal hyre en såkaldt databeskyttelsesrådgiver (DPO). Det fremgår af Datatilsynets vejledning om databeskyttelsesrådgivere, at behandling af patientdata i en lægepraksis, med et begrænset antal læger tilknyttet, ikke anses for at behandle personoplysninger i så stort et omfang, at der efter persondataforordningen kan kræves en databeskyttelsesrådgiver. 

PLO finder det uhensigtsmæssigt, hvis en solopraksis og en kompagniskabspraksis ikke skulle være omfattet af samme regler, hvorfor PLO indtil videre heller ikke anbefaler, at kompagniskaber antager en databeskyttelsesrådgiver. Spørgsmålet er dog uafklaret, og hvis praksis viser, at store kompagniskaber skal have en databeskyttelsesrådgiver, vil PLO orientere herom. 

Vær dog opmærksom på, at manglen på databeskyttelsesrådgiver ikke ændrer på de krav, klinikken skal leve op til efter forordningen.

Malware er en sammentrækning af det engelske begreb ’Malicious software’, som på dansk kan oversættes til ondsindet programkode. Ordet bruges som en fællesbetegnelse for en række kategorier af computerprogrammer, der gør skadelige eller uønskede ting på de computere, de kører på. 

Eksempler på malware er virus, spyware og ransomware. De forskellige typer malware er beskrevet længere nede.

Malware kan ”gemme” sig i alle typer filer - dog typisk i filer som .exe, .zip og MS Office-filer som .doc, .xls og .ppt. Malware kan lægges ind i alle typer programmer og endda sprede sig uden hjælp. Derfor er det vigtigt, at man er varsom med både de filer, man åbner, de programmer man installerer på sin computer, og den adfærd man udviser på nettet.

En virus er et lille computerprogram, som søger at overføre kopier af sig selv til andre filer uden brugerens viden. En virus lægger sig ind i et eksisterende program på din computer - det kan være alle typer af programmer.

De fleste vira er nødt til at kopiere sig selv et vist antal gange før, den destruktive programkode aktiveres. Når en virus aktiveres, holder din computer oftest op med at virke, og dine filer kan ikke længere tilgås.

Ransomware er en proces på din computer, der langsomt krypterer alle dine data, således at du ikke længere kan åbne og bruge dem. Man kan få ransomware på computeren via phishing-mails (se beskrivelse af phishing-mails), eller når man downloader og installere programmer fra internettet.

Formålet med ransomware er at få dig til at betale bagmændene for at låse dine filer op igen. Typisk møder man ransomware ved at modtage link enten pr. e-mail eller via sociale medier, og idet du klikker på linket, begynder krypteringen af dine filer. 

Spyware kan defineres som et program, der i det skjulte indsamler personlige oplysninger om brugeren og dennes adfærd på computeren.

Mange gange vil spyware-programmer ”optage” en brugers internet-bevægelser, aflæse og gemme deres tastetryk og endda gennemsøge deres filer for personlige oplysninger såsom cpr- eller kreditkortnumre. 

Spyware kan installeres på en computer, når du downloader programmer fra internettet og kan føre til identitetstyveri og sænke en computers ydeevne. Spyware kan dog også have et helt legitimt formål, men kun hvis man som bruger har givet tilladelse til, at programmet videresender ens informationer til en ekstern part.

Bliver din færden på nettet jævnligt forstyrret af alverdens popup-reklamer eller får at du jævnligt vist links til hjemmesider, der sælger den type produkter, du søger på?

Ja, så er det nok tegn på, at du utilsigtet har installeret adware på din computer. Alle programmer, hvori der kan vises reklamer, kaldes adware. Programmets afsender tilføjer en kode, som sørger for fremvisningen af reklamerne. 

Typisk får man installeret adware ved en fejl, når man installerer andre programmer. Et kendt eksempel er, at man installerer Java, og samtidig får installeret Ask-Toolbar, fordi man glemte aktivt at fravælge det.

Trojanske heste et ondsindet computerprogram (også kaldet malware). De ligger skjult i et stykke software, som udgiver sig for at være noget uskyldigt. Det kan være et gratis computerspil eller en billedbehandlings-app.

Samtidig med, at man installerer det ”uskyldige” program, lægges der en ”bagdør” ind, som i det skjulte eksempelvis kan give IT-kriminelle fuld adgang og kontrol over computer, tablet eller telefon.

Phishing-mails er mails, der giver sig ud for at være andet end det, de virkelig er.

En phishing-mail kan være forklædt som en besked fra banken, PayPal, Facebook, LinkedIn eller Post Nord, der opfordrer dig til at indtaste dit CPR-nummer, brugernavn og/eller kodeord, at klikke på et virusbefængt link eller til at downloade en vedhæftet fil. 

Formålet med phisning-mails er at fiske oplysninger ud af de mennesker, der modtager dem. Oplysninger, der kan bruges til afpresning eller tyveri af penge og informationer. 

En anden form for phising kaldes for spear-phishing, og det er klart den mest succesfulde form for IT-kriminalitet på internettet i dag og udgør 91 pct. af alle de målrettede angreb, der foretages.

Spear-phishingmails er målrettet og skræddersyet en bestemt virksomhed, en afdeling eller en enkelt person, som uforvarende er blevet udset til at fungere som nøgleåbner eller spydspids. Også her er formålet at lokke offeret til at ”åbne døren” og afgive vitale oplysninger.

For at øge sandsynligheden for succes, vil angribere indsamle specifikke og personlige oplysninger om deres mål med henblik på at få henvendelser til at virke så troværdige som muligt og få offeret til at reagere som ønsket.

VPN er en form for netværkstunnel ind til klinikkens IT-infrastruktur. Den anvendes af medarbejdere til at logge direkte på virksomhedens netværk og videre ind på dens servere, når medarbejderen er ”uden for huset” eller arbejder hjemmefra.

For at få lov til at logge ind, kræver det, at man har et brugernavn og et kodeord samt en VPN-klient (program) på din computer. Ydermere skal du have en godkendt VPN-konto på virksomhedens VPN-server.  

Når du bruger en VPN-forbindelse undgår du brug af det åbne internet og kan direkte gemme dokumenter og andet på klinikkens server, hvor du har back-up af dine oplysninger.

En 2-faktor validering (2FA) tilføjer et ekstra lag sikkerhed ved login til enheder, applikationer og tjenester.

Når du skal indtaste dit brugernavn og ét password, er det en enkelt-faktor validering. 2FA kræver, at en bruger, ud over sit brugernavn, gør brug af i alt to typer legitimationsoplysninger, før de kan få adgang til en enhed eller konto. Med andre ord, at et password suppleres af en anden form for adgangskode.

Der findes tre yderligere typer af legitimationsoplysninger, der kan anvendes i en 2FA. De tre typer er: 

• Noget du kender - adgangskode, et personligt identifikationsnummer (PIN) eller et mønster
• Noget du har fysisk - kreditkort eller telefon
• Noget du er - fingeraftryk, iris-scanning eller stemmeføring (biometrisk validering)

Ofte ser man, at 2FA benyttes sammen med en lille elektronisk nøglering (token) eller app, som indeholder et nummer, der ændrer sig fra gang til gang. En anden velkendt tilgang er, at man får tilsendt en sms med en engangskode. NemID er også en (simpel) form for 2-faktor validering.

Anti-virus er et eller flere programmer, som er designet til at forebygge, søge efter, finde og fjerne virusser, og andre ondsindede programmer som orme, trojanske heste, adware, spyware m.m.

De virker typisk på den måde, at de fokuserer på en fils signatur. For at finde ud af om filen er ondsindet, slår anti-virus-programmet signaturen op i en database. Hvis filen er ondsindet, vil den blive blokeret og forsøgt slettet af anti-virus-programmet. 

Svagheden ved anti-virus-programmer er, at antivirus software kun beskytter imod kendte trusler og derfor først reagerer på trusler, når anti-virus-producenten har opdateret sit program med de nyeste signaturer. Derfor kan anti-virus-programmer ikke stå alene og skal suppleres med bl.a. en opdateret firewall.

En firewall er et program eller en boks, der ud fra nogle regler sorterer datapakker, som sendes til og fra et netværk.

På den måde kan den fx sikre, at din pc eller dit netværk kun modtager datapakker, der indgår i kommunikation, som du selv har startet og sikrer, at kun ønsket netværkstrafik kommer ind i eller ud af netværket. 

I dag er dette standardudstyr på de fleste arbejdspladser, og udgør den mest basale form for netværkssikkerhed. Firewalls tjener dog ikke kun virksomheder. Som privat kan du også installere en firewall på din computer, og ofte følger der gratis firewalls med til styresystemer som Windows og MacOS.

Det er yderst vigtigt, at man løbende installerer de opdateringer, som softwareproducenterne anbefaler. Ofte vil de forskellige programmer som eksempelvis Java, Flash, Adobe Reader og Microsoft Office komme med et pop-up-vindue, som spørger, om du vil opdatere.

Ved at svare nej til disse udsætter du dig selv for en stor sikkerhedsrisiko. Disse opdateringer lukker sikkerhedshuller og fejl i softwaren, som en hacker ellers kan udnytte.

Jo flere versioner du er bagud, des større er sandsynligheden for, at du bliver ramt af et angreb. Heldigvis bliver det mere og mere almindeligt, at et program kan sættes til at opdatere sig selv automatisk.

Der er grundlæggende to typer back-up. Nemlig lokal og online. Lokal back-up fungerer ved, at man tager en kopi af sine filer og programmer og gemmer dem på computerens lokale harddisk i en anden mappe eller eventuelt på en ekstern harddisk eller usb-nøgle.

Dette kan være en rigtig fin løsning for mange, men husk at denne form for back-up kan gå tabt ved ildebrand, strømskader eller indbrud. 

Ved online back-up gemmer man data i en cloudtjeneste, når der er forbindelse til internettet. Denne løsning er nemmest for de fleste, og der findes en række forskellige udbydere af disse onlineløsninger.

Her er det vigtigt, at du er tryg ved, at data ligger gemt i en sky, som ejes af en udbyder. Du kan ikke være stålsikker på, at dine data ikke havner andre steder og bliver brugt til noget, du ikke ønsker eller er herre over. 

PLO anbefaler, at du læser mere i vejledning 4: ​
Opbevar altid personfølsomme data på sikrede drev og husk back-up