Mer om Pasientens journaldokumenter

Dagens situasjon

Digital utlevering av journaldata skjer i dag hovedsakelig ved meldingsbasert kommunikasjon. På samme måte som å sende en e-post, krever meldingsbasert kommunikasjon at det er en kjent avsender og mottaker, for eksempel når pasienten er i et planlagt behandlingsforløp.

En behandler av en pasient i en akuttsituasjon vil ikke kjenne til hvem som har utvekslet meldinger om tidligere behandlinger og har ikke selv direkte tilgang til meldingene. Helseopplysninger lagres lokalt hos de aktørene pasienten besøker. Dataene er ikke eksponert for omverden med det første, så for å tilgjengeliggjøre de må de deles enten manuelt eller digitalt. 

I Pasientens journaldokumenter blir informasjonen tilgjengelig i form av felles register som alle deltakende virksomheter kan gjøre oppslag i på ethvert tidspunkt, og få tilgang til journaldokumenter de har rett til å gjøre oppslag i. Rettighetene baseres på helsepersonellets rolle, virksomhet og behandlerrelasjon.

Meldingsbasert utveksling – en til en

Forenklet diagram over utvekslingen av journalinformasjon med Pasientens journaldokumenter – en-til-mange

Det er mange historier fra pasienter som opplever det belastende å måtte holde rede på og huske vesentlige detaljer om sin sykehistorie og i tillegg måtte gjenta og gjenfortelle historien korrekt ovenfor stadig nye helsepersonell som møter dem. Helsepersonell ender dermed ofte opp med å ringe virksomheten der pasienten fikk behandling sist. Basert på tillitt utleveres opplysninger per telefon, fax eller budbil. Dette er usikre rutiner når det gjelder innhenting av pasientens samtykke, personvernsrettigheter og om utleveringen av opplysninger loggføres.

"Manuell" deling av journaldokumenter

Høy klinisk nytte hos de fleste

I en spørreundersøkelse utført av Norsk helsenett svarer 80 % av helsepersonell at Pasientens journaldokumenter gir høy klinisk nytte i deres arbeid, dette gjelder alle legene ved Kommunal Akutt Døgnenhet (KAD), Legevakt og Sykehus.
Helsepersonell rapporterer at de har nytte av løsningen både ved akutte og planlagte behandlingssteder. Bruken er svært høy blant leger ved legevakten i Oslo og blant sykepleiere med koordineringsansvar på akuttmedisinsk enhet ved sykehus. Men bruken er også høy ved KAD i Bodø og i Oslo. Intervjuobjektene ved KAD i Oslo, forteller at de nå benytter Pasientens journaldokumenter som rutine ved behandling av hver eneste pasient.

Pasientens journaldokumenter gir høy nytte ved behandling av ukjente pasienter med komplisert sykdomshistorikk eller som befinner seg i tverrfaglige behandlingsløp
Behandling av pasienter med flere ulike lidelser eller kompliserte sykdommer involverer gjerne flere institusjoner og omsorgsnivåer i helsevesenet. [...]

Legevakten møter eksempelvis en del pasienter i akutte situasjoner, der liv og helse står på spill og der psykiatriske vurderinger av suicidale pasienter har støttet dem i vanskelige beslutninger om hva som er det beste for pasienten. [...]

Helsepersonell uttrykker at tilgang på tidligere psykatrivurderinger kan redde liv.

Regulering av brukerens rett til oppslag i journaldokumenter

Innbygger har rett til å gjøre oppslag i journaldokumenter som er lagret om de, og har tilgang til å sperre muligheten for oppslag i dokumenter for enkelte helsepersonell eller enkeltpersoner. Journaldokumenter kan skjermes for innbygger, skulle det være manglende kontekst til dokumentet som først må gis ved konsultasjon eller ved fare for pasienten.

Se Begrepsliste for oversikt over de forskjellige reguleringene

Eksempel: Uttalelse fra pasient:

Jeg vil ikke at dr. Olsen, som er min tremenning skal få tilgang til min journal
Jeg vil ikke at min fastlege skal få tilgang til informasjon om min abort
Jeg vil ikke at noen får tilgang til journalen min, bortsett fra dr. Hansen og dr. Nilsen
Jeg vil ikke at andre enn de som jobber på Olafiaklinikken skal se min journal

Aktører

Alle aktørene har i varierende grad behov for bruk av Pasientens journaldokumenter for å kunne dele data om pasientene virksomheten har behandlet på tvers av helsesektoren.

Aktører i Pasientens journaldokumenter blir delt opp i to hovedkategorier:

• Innhentende (også kalt dokumentkonsument) er relevant personell som skal benytte seg av dokumentene. For å få muligheten til å gjøre oppslag i journaldokumentene må det foreligge et tjenstlig behov.

• Utleverende (også kalt dokumentkilde) er den som tilgjengeliggjør dokumentene for den innhentende. Dette er en virksomhet som har dokumentet lagret i deres dokumentlager.

Primærhelsetjeneste (Helsetjenesten utenfor institusjon):

• Fastlegene
• Hjemmesykepleie
• Helsesøstre
• Fysioterapeuter
• Ergoterapeuter
• Logopeder
• Fysioterapeuter
• Kiropraktorer
• Sykehjem og bo- og servicesentre

Spesialisthelsetjenesten (Sykehus):

• Regionale Helseforetak (RHF)
  • Helse Nord
  • Helse Sør-øst
  • Helse Vest
  • Helse Midt-Norge
• Sykehus

Brukerflater

Brukerflater eller brukergrensesnitt er i denne konteksten systemløsninger som tillater brukeren å hente ut journaldokumenter. Per i dag er det hovedsakelig to grensesnitt for å se pasientinformasjon ved bruk av Pasientens journaldokumenter.

• Helsenorge.no er en dokumentkonsument som innbygger benytter seg av for å få tilgang til sine helserelaterte dokumenter. Innbygger kan også laste ned dokumentene om seg selv, og se hvem som har lastet ned/sett på et dokument.

• Kjernejournal er et system som brukes av helsepersonell for å gjøre oppslag i pasientens helserelaterte dokumenter.

  • For virksomheter som har en egen elektronisk pasientjournal (EPJ), vil de ha en integrasjon mot kjernejournal, og få opp kjernejournal i en egen webapp (Kjernejournal Portal)

Data i Pasientens journaldokumenter

Data i Pasientens journaldokumenter er informasjon som omtaler eller er relatert til en pasient. Dette kan være alt fra bilder til epikriser og prøvesvar. Fellesbetegnelsen er at informasjonen er endelig (kan ikke endres i ettertid). Teknologien bak Pasientens journaldokumenter er innholdsagnostisk, som betyr at den ikke har viten om eller tar dokumentets innhold i betraktning. For systemet har det ikke noe å si om det er et bilde, prøvesvar eller strukturert fil som skal deles.

Strukturerte og ustrukturerte data

Pasientens journaldokumenter har et rykte for at dataen er "død". Det vil si at når dataen er registrert, kan det ikke struktureres om eller endres på.

Om dataen er dynamisk eller statisk (strukturert eller ustrukturert) avhenger av hvordan de er lagret. Dette blir gruppert som strukturerte og ustrukturerte data:

• Strukturerte data kan omtales som data som er "pakket inn" i et lag med kode for å gjøre den lesbar for datamaskiner. De er som regel i XML eller JSON-format som for eksempel CDA eller FHIR-dokumenter. Disse er strukturert slik at journalsystemet kan plukke ut relevant informasjon fra filen og vise det på en måte som er relevant og forståelig for helsepersonell eller pasient.
  Verdiene man ser i det strukturerte dokumentet (pasientens navn, id og prøvesvar-verdier) er styrt av "tags" (<navn>, <id> osv.) Taggene har en definert slutt i form av en maken tag med skråstrek. Dette separerer de ulike feltene, og gjør filen prosesserbar for datamaskiner og dermed strukturert.

Strukturert dokument der EPJ kan hente ut relevante elementer for egendefinert presentasjon

• Ustrukturerte data er filer som PDF- eller Word-dokument. Disse er "statiske" (død) i den form at dataen kan ikke automatisk plukkes ut og vises på en enkel og brukervennlig måte. Det er heller ikke mulig å oppdatere dataen i filen på samme nivå som man kan med strukturerte data.

Strukturerte eller ustrukturert, de aller fleste typer informasjon går under fellesbetegnelsen "dokument"

Komponenter i Pasientens journaldokumenter

Dokumentkilde (Document Source)

En dokumentkilde er som oftest et EPJ-/fagsystem som har produsert dokumenter (utleverende) som skal deles via en journaldokumentdelings-løsning.

Dokumentkonsumenter (Document Consumer)

En dokumentkonsument (også kalt dokumentbruker) vil typisk være et EPJ-/fagsystem som etterspør dokumenter som er tilgjengelige via journaldokument-løsningen. Dokumentkonsumenter er måldestinasjonen til dokumentene som hentes ut via Pasientens journaldokumenter. Disse er sikret i form av at innhentende part må ha bruker med rettigheter til oppslag i dokumentene, gjennomført ved bruk av HelseID.
Per i dag er det Helsenorge.no og kjernejournal som er dokumentkonsumentene på nasjonalt nivå, men det er ønskelig å tillate bruk av flere.
Når man skal hente ut et dokument for bruk, blir det ikke overført og lastet ned på enheten til konsumenten, men strømmes over til pasientjournalsystemet konsumenten bruker.

Dokumentlager og dokumentregister

På arkitekturelt nivå er Pasientens journaldokumenter ansett som en todelt prosess, der man har selve dataen, og dataen som beskriver dataen. Dette er gjort for sikkerhetsmessige årsaker, og for å mer effektivt kunne gjøre søk basert på informasjonen som beskriver dataen.

Dokumentlager (Document repository)

Dokumentlager (også kalt dokumentarkiv) lagrer selve dokumentene og gjør dem tilgjengelig for uthenting ved forespørsler fra dokumentbrukere. En journaldokumentdelings-løsning kan bestå av ett eller flere dokumentlager. Når et dokument er registrert i dokumentlageret skal ikke innholdet oppdateres i etterkant. Dersom det er behov for å legge inn oppdatert informasjon eller dokumenter, skal dette skje gjennom at det blir registrert et nytt dokument som erstatter det forrige dokumentet. Skulle det være relevant må det så opprettes koblinger mot de gamle (utdaterte) dokumentene. Dokumentene i et dokumentarkiv kan indekseres av et Dokumentregister.

Dokumentregister (Document Registry)

Dokumentregisteret inneholder opplysninger (metadata) om alle arkiverte dokumenter i et samarbeidsområde (geografisk gruppering av virksomheter). Ett samarbeidsområde betjenes alltid av kun ett dokumentregister, men et dokumentregister kan dekke flere samarbeidsområder. I tillegg til metadata inneholder dokumentregisteret pekere til dokumentlageret hvor dokumentet er lagret.

Dokumentregister med pekere til dokument i dokumentlager

Teknologier i Pasientens journaldokumenter

Teknologier omfatter det tekniske som foregår bak det som blir presentert til innbygger/helsepersonell, og hvordan journaldokumentene blir tilgjengeliggjort.
Teknologien som brukes for å dele og tilgjengeliggjøre dokumenter er IHE (Integrating the Healthcare Enterprise)-profilene XDS (Cross-Enterprise Document Sharing) og XCA-gateway. (Cross-Community Access Gateway).

Hva er en profil?

Når det kommer til den tekniske løsningen bak Pasientens journaldokumenter, er (IHE-)profiler omtalt som en standardisert måte på å løse utfordringer relatert deling av helsedata. Ordet profil (profile) brukes i kontekst av form; formen på en teknisk konstruksjon, altså en mal. Øvrige egenskaper formes etter individuelle behov. Det er viktig å holde formen "intakt" for å sørge for at kommunikasjonen kan foregå på en smidig måte.

IHE har definert profiler som:

[IHE] Profiles provide a common language for purchasers and vendors to discuss the integration needs of healthcare sites and the integration capabilities of healthcare IT products. They offer developers a clear implementation path for communication standards supported by industry partners and carefully documented, reviewed and tested. They give purchasers a tool that reduces the complexity, cost and anxiety of implementing interoperable systems.

SOAP

SOAP (Simple Object Access Protocol) er en meldingsprotokoll som tillater kommunikasjon mellom applikasjoner over et nettverk ved bruk av XML (Extensible Markup Language) som meldingsformat.

Forenklet Eksempel: Helsepersonell ved en virksomhet ønsker å søke i dokumenter på en pasient med fødselsnummer 29019900248. Kildesystemet kan bruke Action feltet for å vite hva konsumenten ønsker å gjøre, og bruker Timestamp og Security-elementene for å verifisere om helsepersonellet har lov til det. Til slutt søker kilden om det finnes informasjon om pasienten med Value-en for fødselsnummeret.

XDS Samarbeidsområde (Affinity Domain)

XDS Samarbeidsområde (kortform: XDS-område, XDS-domene, samarbeidsdomene) er flere virksomheter som samarbeider på tvers av hverandre, og har felles policyer og infrastruktur når det kommer til registrering av data, aksepterte dokumenttyper og enighet om hvordan autorisering skal skje. En virksomhet kan være en del av flere XDS-områder.

XDS

XDS er en profil som håndterer deling av journaldokumenter på tvers av virksomheter i et samarbeidsområde. Standarden som brukes er IHE XDS. Data registreres på en pasient, og lagres på virksomheten der dataene ble produsert. Når man for eksempel gjør et søk etter en pasient, finner systemet alle dokumenter som omhandler samme person og lager en liste.

XDS-metadata

Siden XDS-systemer av sikkerhetsmessige grunner ikke kan lese innholdet i et dokument, må det registreres metadata for hvert enkelte dokument, og eventuelle koblinger opp til andre dokumenter.

Typer metadata er blant annet:

• Pasient-ID - Navn og fødselsnummer
• Kilde (opphav) - Hvor dokumentet er generert/har opphav fra.
• Sikkerhet - Beskrivelse av sikkerhetsregler som kan kontrollere tilgangene til dokumentet
• Beskrivelse - Det kliniske innholdet i dokumentet (røntgen, epikrise etc.)
• Dokumentstatus - Status og relasjon/kobling til andre dokumenter
• Utveksling - Hvordan dokumentet kan utveksles (sendes eller mottas)

Dokumentregister med pekere til dokument i dokumentlager. Diagrammet fra tidligere viser også hvordan metadata er koblet opp til et journaldokument.

Metadata kan overlappe med data i dokumentet. Author kan stå i selve dokumentet og i metadataen uten at dette har noen betydning. Systemet vil kun lese og filtrere data etter informasjonen i metadataen. Løsningen kan håndtere enhver form for dokumenter (innholdsagnostisk), men en forutsetter at disse dokumentene er basert på et sett med forhåndsdefinerte og avtalte standarder/formater. Dette gjelder også metadataene om et dokument. Dokumenter kan være rene, strukturerte data, men også binære data slik som bildedata.

En mer logisk sammensetning av hvordan metadataen i dokumentet følger standarder for å muliggjøre søk

XCA

XDS gir stor nytteverdi der oppslag foregår i samme nettverk (innenfor samme samarbeidsområde) (Cross-Community Access) XCA er en profil med en gateway som tillatere brukeren å søke på og tilgjengeliggjøre dokumenter på tvers av samarbeidsområder. Hoved-gatewayen som knytter alle aktørene sammen driftes av Norsk helsenett. Selv om Norsk helsenett drifter Gatewayen, har de ikke innsyn i dokumenter som deles.

XUA

Cross Enterprise User Assertion (XUA)-profilen tillater kommunikasjon av en inngangsbilett (i form av en SAML-token) til en dokumentkonsument på tvers av virksomheter og/eller samarbeidsområder, og sikrer at helsepersonell som forespør informasjon er den de utgir seg for å være.

ITI-meldinger

ITI-meldinger er spesifikke meldinger utviklet og forvaltet av IHE. Meldingene beskriver kommunikasjon mellom komponenter i et nettverk. I denne sammenhengen er ITI-meldingene SOAP-meldinger som sendes mellom partene.

Nedenfor er eksempler på ITI-meldinger som ofte blir brukt i Pasientens journaldokumenter, og en overordnet beskrivelse av hva de gjør.

Meldinger innenfor samme virksomhet/samarbeidsområde

Meldinger på tvers av virksomhet/samarbeidsområde

Dokumentforløpet

Lagring av dokumenter i XDS kan anses som en todelt prosess. Når en aktør ønsker å lagre et dokument i en XDS-løsning, blir dokumentet og metadataen sendt til dokumentlageret (Document Repository). Metadataen blir så videresendt til dokumentregisteret (Document Registry). Dokumentregisteret har kun oversikt over metadataen til dokumentene.

Dokument som blir lagret i løsningen. Dokumentet og metadataen flyttes først innom lageret, også videre til registeret med peker til hvilket lager dokumentet befinner seg i.

Når en konsument ønsker å se på et dokument, kjøres en spørring mot dokumentregisteret med gitte søkekriterier (metadataen). Når alle dokumentene som oppfyller søkekravene er funnet, blir de sammenstilt til en dokumentliste, og listen blir presentert for konsumenten.

Merk!: Så langt i prosessen er dokumentlageret (de faktiske dokumentene) ikke aksessert ennå; kun registeret med informasjon om hvilket innhold som finnes i samarbeidsområdet.

Når konsumenten klikker på det relevante dokumentet for å åpne det, kjøres en ny spørring for å hente ut det dokumentet. Først nå hentes dokumentet ut fra dokumentlageret, og presenteres til konsumenten.

Helhetlig oversikt over deling av journaldokumenter

En helhetlig oversikt over deling av journaldokumenter. I tilfellet av diagrammet er det samarbeidsområdene Helse Nord og Helse Sør-øst som utveksler dokumenter seg imellom, med NHN som et sentralt ledd.

Oversikt over strukturen; med nasjonal (NHN)- og regional gateway

Innbygger spør etter dokumenter om Pasient X

Innbygger (kallenavn: Pasient X) ønsker å se dokumenter om seg selv, og logger på Helsenorge.no. Fra der klikker de på fanen Pasientjournal for å se en oversikt over hvilke dokumenter de har. Det gjøres i form av en ITI-melding. Den går først til Norsk helsenetts XCA-gateway, som sender spørringen videre til alle tilkoblede endepunkter (i dette tilfellet Helse-nord og Helse sør-øst).
Det første leddet i endepunktene er XCA-gatewayene for helseregionen. Den sender så en spørring til alle tilkoblede aktører om de har dokumenter på Pasient X.
En XUA inngangsbillett sendes sammens med spørringen. Det for å sikre at det mottakende systemet registrerer at det er en aktør de kan stole på, og sende dokumenter tilbake til.

Et kall etter et dokument med metadata

Innbygger får svar

Innbygger får opp en dokumentliste med dokumenter som omtaler den korrekte metadataen (i dette tilfellet opplysninger om Pasient X). Når innbygger velger å se på det relevante dokumentet, sendes ut enda en spørring om å hente akkurat det dokumentet. Dokumentet sendes så tilbake til NHNs XCA-gateway, og videre til Helsenorge der de blir presentert for innbygger.

Henting av dokument fra besvarende aktør

Identifisering av virksomheten

For å identifisere og kommunisere med en annen aktør, kreves det at virksomheten har en OID (Objekt-Identifikator) knyttet til seg. Det er som en unik numerisk adresse for å entydig kunne identifisere en aktør.

Se også

Cross-Enterprise Document Sharing (XDS) 🡕
Cross-Community Access (XCA) 🡕
Retningslinjer for logging ved data- og dokumentdeling 🡕
DICOM 🡕

Logging i Pasientens journaldokumenter

Det foregår logging på flere nivåer i Pasientens journaldokumenter. Formål med logging er blant annet for å sikre god sporbarhet både av informasjonsflyten, men også gi innbygger innsyn i hvem som har åpnet eller tilgjengeliggjort journaldokumentene som er relevante for innbygger.
Både innleverende og uthentende skal logge opplysninger om et oppslag.
Minimum som skal logges i tillegg til informasjonen relevant til loggtypen:

• ID
• Organisasjon
• Grunnlag
• Tid

Diagrammet om dataflyten i Pasientens journaldokumenter kan brukes til å visualisere stegene i logging:

Sporing av hendelser

Typer logging

Brukslogg

Brukslogg er logging over bruken av tjenesten. Det kan være hendelser i form av at en konsument logger seg på Helsenorge.no eller åpner et dokument. Dette lagres i systemloggene hos XCA-tjenesten og brukerflatene.

Tilgangslogg

Logg om hvem som har gitt og fått tilgang til et dokument. Tilgangslogg kan være relevant når det har vært hendelser der det er økt risiko for ikke-legitim tilgang

• Eksponerte personer
• Katastrofesituasjoner
• Annet

Tekniske logger/systemlogg

Tekniske- eller systemlogger er logging av interne hendelser i systemet. Norsk helsenett har som ansvar å logge XDS-infrastrukturen, monitorering av løsning, og å samle pasientens innsynslogg og tilgjengeliggjøre denne på helsenorge.no. Verktøyet som brukes til logging i NHN XDS er Splunk.

Desentralisert logging

Desentralisert logging er den standard typen å lagre hendelsesopplysninger på; logging på tvers av forskjellige samarbeidsområder, uten et sentralt punkt for å samle all loggdata. Grunnen til at dette gjøres er at det logges mye personlig informasjon, som gjør det juridisk vanskelig å opprette en sentral loggdatabase.

Utfordring: Integritet for loggopplysninger

Det kan være risiko for at enkelte virksomheter ikke har nok logger for å kunne avklare om loggingen er lovlig. Det kan være risiko for at aktører i enkelvirksomheter har egeninteresse av å holde tilbake eller på annen måte manipulere loggopplysninger med relevans for loggoppfølgning Det bør for hvert oppslag mellom virksomheter sikres integritet ved at begge parter lagrer loggen hver for seg, og sammenligner disse opp mot hverandre ved nødvendighet.

ATNA

Audit Trail and Node Authentication (ATNA) er en IHE-profil for å sikre og logge systemaktivitet og brukeraktivitet i et system. Dette lagres opp mot et sentralt Audit Repository. ATNA logger aktivitet på alle komponenter i nettverket, og gjør det enkelt å oppdage systemfeil eller sikkerhetsbrudd, da alt er logget, og det er lett å oppdage avvik.

Loggkontroll

Loggkontroll brukes for å avdekke en uvanlig hendelse (mistenkelige feil). Loggkontroll- og oppfølgining skal bidra til å sikre at pasientens konfidensialitet ivaretas. Alle aktørene har eget ansvar for loggkontroll i varierende grad.
Konsumenten har ansvar for kontroll av eget personells tillganger til opplysninger.
NHN har ansvar for kontroll av tilganger til opplysninger lagret i Kjernejournal (Legemidler, kritisk info etc.), inkludert tilgang til fane for journaldokumenter - med dokumentoversikt, samt at det er gjort oppslag i dokumenter hos ulike virksomheter. Logger skal være tilgjengelig ved forespørsel/hendelse.

Loggoppfølgning

Loggoppfølging er en prosess som gjøres for å avklare om vilkår for tilgang var oppfylt ved aktuelt oppslag. Det er egen organisasjon eller utvelerende part som foretar oppfølgingen.
Dersom tilgang til dokumenter konkluderes med å være ulovlig, skal pasient, ansvarlig/berørt, virksomhet og eventuelt tilsynsmyndighet informeres. Videre vil omfang og alvorlighetsgrad avklares, for så å vurdere videre tiltak.

Roller i logging

Innhentende

Innhentende må samarbeide med utleverende ved hendelser som krever loggoppfølging.
Innbygger må ha tilstrekkelig informasjon om hvem som har sett på journalen uavhengig av hvilken virksomhet innbygger kontakter.
Roller innhentende har er blant annet:

• Loggkontroll
• Loggoppfølgning
• Logge minimumsinformasjon

Utleverende

Utleverende av dokumenter har som ansvar å sørge for at systemet kan loggføre hvilke opplysninger helsepersonell får tilgang til, samt tilstrekkelig informasjon om grunnlaget for tilgangene som er gitt. Blant annet:

• Loggkontroll
• Logge minimums informasjon
• Logge avviste tilganger

Utfordringer med logging

En følge av at Pasientens journaldokumenter blir mer og mer utbredt er at krav og retningslinjer for logging tolkes og implementeres ulikt blant aktørene. Det er uklare formål med hvorfor logging skjer, og grunnet lange kallkjeder (fra nasjonal XCA til regional XCA til helseforetak) er det vanskelig å si hvem som har ansvar for å håndtere loggene. Det kommer ned til disse tre punktene:

• Det er uklare formål med hvorfor vi logger.
• Det er uklart hvilke hendelser som skal logges.
• Virksomheter har forskjellige tolkninger av hva kravene er til logging.

Se også

Retningslinjer for logging ved data- og dokumentdeling 🡕