GDPR og sikkerhed i hverdagen — onboarding til klinikpersonale

Det her dokument er skrevet til medarbejdere — pædagoger, sygeplejersker, social- og sundhedsassistenter, behandlere — der bruger Validi i hverdagen. Det er den slags ting jeres klinikleder med god grund vil bede jer læse, når I starter, eller når der er gået et halvt år og I trænger til en genopfriskning.

Det er ikke en juridisk vejledning. Det er en hverdags-tjekliste: hvad GDPR betyder konkret for jeres arbejde med borgerens journal, og hvad I selv kan gøre, så et lille uheld ikke bliver en stor sag.

Læsetid: 5-7 minutter. Print det gerne, eller bogmærk siden.

Det grundlæggende — hvorfor det gælder

Borgere i misbrugsbehandling og socialpsykiatri har givet jer adgang til nogle af de mest følsomme oplysninger der findes om dem. Det er ikke en formalitet. En lækket journal kan koste en borger jobbet, et forhold, eller værre.

GDPR er den lov, der sætter rammen for hvordan I må arbejde med de oplysninger. Validi tager sig af det meste tekniske (kryptering, audit-log, hosting, backup). Men der er fire-fem ting i hverdagen, som ingen software kan fikse for jer.

Adgangskoden

Den vigtigste sikkerhedshandling I foretager hver dag er at vælge en god adgangskode og holde den for jer selv.

Nogle huskeregler:

• Brug en sætning, ikke et ord. "Min-kat-sov-paa-tasen-igen" er sværere at gætte end "Sommer2024!".
• Genbrug aldrig kodeord fra andre steder. Jeres Validi-kode skal ikke være den samme som jeres Netflix-kode.
• Skriv den ikke på en post-it på skærmen. Heller ikke i en notesbog på skrivebordet.
• Brug en password manager hvis I har svært ved at huske flere. 1Password, Bitwarden eller Apple/Google's indbyggede er fine.

Hvis I tror, jeres adgangskode er kommet i de forkerte hænder — for eksempel hvis I har klikket på et mistænkeligt link — så skift den med det samme og fortæl klinikadministratoren det. Det er ikke noget I bliver fyret for. Det er noget I bliver takket for at sige.

To-faktor-login

Validi tilbyder to-faktor-login (også kaldet MFA). Det betyder, at jeres adgangskode ikke er nok alene — der skal også en kode fra en app på jeres telefon til.

Det lyder besværligt. Det er det også, de første tre dage. Efter det er det automatisk.

Hvis I har mulighed for at slå det til, så gør det. Hvis I er administrator på Validi for jeres klinik, er det allerede slået til.

Når I forlader computeren

Reglen er enkel: forlader I computeren, så låser I skærmen.

Det gælder også selvom I bare lige skal hente en kaffe. Hvis en kollega — eller værre, en borger — får adgang til en ulåst computer med jeres login, er det jeres handlinger der bliver logget i systemet.

Genvejstaster:

• Mac: Ctrl + Cmd + Q
• Windows: Windows-tasten + L

Validi logger jer automatisk ud efter en periode uden aktivitet. Men den periode er længere end den tid det tager en kollega at åbne en journal hun ikke burde se. Lås skærmen.

Når I har en borger på skærmen

Pas på hvad der står på skærmen i åbne kontorer eller mødelokaler.

Nogle små vaner:

• Vend skærmen væk fra døren
• Luk borgervinduer ned, når I rejser jer
• Brug ikke borgernavne eller CPR-numre højlydt i åbne lokaler
• Vær opmærksom hvis I sidder i et lokale med vinduer mod gaden

Det handler ikke om paranoia. Det handler om at borgerens følsomme data ikke skal kunne læses tilfældigt af nogen, der ikke har noget med dem at gøre.

Hvis I arbejder hjemmefra

Validi kan tilgås hjemmefra. Men der er et par ting at være opmærksom på:

• Brug ikke offentlige Wi-Fi-netværk (cafeer, biblioteker, hoteller) til at åbne borgerjournaler. Hvis det er absolut nødvendigt, så brug en VPN.
• Hjemmenetværket skal være beskyttet med en kode (ikke det åbne netværk fra naboen).
• Familien må ikke kunne se borgerdata på skærmen — heller ikke i forbifarten. Sid med skærmen mod en væg, ikke mod stuen.
• Tag ikke screenshots af borgerdata og send dem via SMS eller WhatsApp. Hvis I har brug for at dele noget, så brug Validi's indbyggede SMS-funktion.

Phishing — den hyppigste fælde

Phishing er falske mails, der ligner ægte mails — fra en bank, en kollega, eller Validi selv — og som prøver at få jer til at indtaste login eller klikke på et link.

Tegn på phishing:

• Mailen kommer fra en mærkelig adresse (validi-support@gmx.com i stedet for support@validi.eu)
• Den beder jer indtaste login "for at bekræfte jeres konto"
• Den er presserende ("jeres konto bliver suspenderet i dag")
• Den indeholder stavefejl eller mærkelige formuleringer
• Linket peger på en mærkelig URL, hvis I holder musen over det

Validi vil aldrig bede jer indtaste jeres login via et link i en mail. Hvis I er i tvivl: åbn en ny browser-fane, gå selv ind på validi.eu, og log ind den vej.

Hvis I kommer til at klikke alligevel og indtaster jeres login: skift adgangskode med det samme, og giv klinikadministratoren besked. Sker det, sker det. Det vigtige er, at I siger det.

Hvis I opdager noget mærkeligt

Fortæl det videre. Med det samme.

Eksempler på "mærkeligt":

• I logger ind og ser, at der allerede er en aktiv session I ikke kender
• En kollega siger, at hun har fået en mærkelig mail "fra jer"
• I opdager, at en journal er ændret uden I husker at have gjort det
• En borger nævner, at de har set deres egen journal et sted hvor den ikke burde være

Det kan godt være ingenting. Men hvis det er noget, er det vigtigt at få det fanget hurtigt. Skriv det til klinikadministratoren, eller direkte til Validi-support hvis I er administrator selv.

Når en kollega stopper

Det her er klinikadministratorens ansvar, men det er værd at vide som medarbejder: når en kollega fratræder, skal hendes Validi-konto lukkes med det samme.

Det gælder også hvis hun bare går på barsel, langtidssygemelding eller orlov. Adgangen kan altid åbnes igen, men i mellemtiden skal den være lukket.

Hvis I er administrator, så put det i jeres exit-procedure: når nøglen, adgangskortet og telefonen kommer ind, lukker I også Validi-kontoen. Det tager 15 sekunder fra menuen "Medarbejdere".

Hvad I aldrig skal gøre

Den korte liste over absolutte no-gos:

• Logge ind med en anden medarbejders konto (selvom hun siger det er ok)
• Dele jeres login med en vikar eller praktikant
• Tage billeder af skærmen med en privat telefon
• Lægge journalmateriale på Google Drive, Dropbox eller andre private cloud-tjenester
• Sende borgerdata via almindelig email (brug Validis sikre SMS eller besked-funktion i stedet)
• Diskutere identificerbare borgere på sociale medier — heller ikke i lukkede grupper for kolleger

De fleste af de her er sikkert intuitive. Men de bliver brudt — typisk i en stresset situation — og de er typisk hvad der står i avisen, når en klinik kommer i problemer.

Hvis I er i tvivl

Er I i tvivl om en konkret situation, så spørg. Klinikadministratoren, en kollega der har været længere, eller direkte Validi-support på support@validi.eu. Der findes ingen dumme spørgsmål her. Der findes kun spørgsmål, der bliver stillet for sent.

---

Til klinikledere: dette dokument må gerne deles internt i sin nuværende form, eller tilpasses jeres egen klinik-virkelighed. Hvis I gerne vil have en redigerbar version (Word eller Google Docs), så skriv til os — så sender vi den.

Til medarbejdere: tak fordi I tog jer tid til at læse det. Det er ikke det mest spændende, men det betyder noget.