Integriertes Zugriffsmanagement in einem elektronischen Patientendossier Ein Weg auf dem schwierigen Terrain zwischen Persönlichkeitsschutz und Praktikabilität Daniel Ratschiller, Christian Peter, Daniel Voellmy Inselspital, Universitätsspital Bern Am Inselspital Bern wird seit November 2008 produktiv mit einem neuen spitalweiten Klinikinformationssystem (KIS) gearbeitet, dem integrierten Patientendossier i-pdos. Eine besondere Herausforderung im Vorfeld war die Planung und Umsetzung des Usermanagements, welche im Umfeld eines Universitätsspitals eine gewisse Komplexität aufweist und welche den gesetzlichen Vorgaben des Datenschutzes gerecht zu werden versucht. Die Vorgabe ist einfach zu formulieren: Jeder Datenzugriff muss zweckgebunden sein. Bei der Planung und Umsetzung dieses Grundsatzes stösst man aber rasch auf Grauzonen, Sonderfälle und Unklarheiten. Ausgehend von Vorgaben aus einem bestehenden Personalverwaltungssystem (IBM Primus) und einem Spitaladministrationssystem (SAP, Spitalstruktur) wurde eine Zugriffslogik und die dafür nötige Personaldatenschnittstelle konzipiert und erfolgreich implementiert. Dabei galt es, die jeweils optimale Granularität zu finden, um die Zuteilung der Zugriffsrechte so einfach wie möglich, aber doch so fein wie nötig vornehmen zu können. Wir beschreiben hier die Schritte der Analyse bis hin zur Lösungseinführung.
Einleitung: Am Inselspital Bern wird seit November 2008 produktiv mit dem neuen Klinikinformationssystem (KIS) i-pdos (integriertes Patientendossier) gearbeitet. Eine besondere Herausforderung war im Vorfeld die Planung und Umsetzung des User- und Zugriffsmanagements im komplexeren Umfeld eines Universitätsspitals und unter den aktuellen gesetzlichen Vorgaben zum Datenschutz auf Bundes- und Kantonsebene. Diese verlangen unter anderem, dass nur für die umfassende Betreuung der Patienten notwendigen Daten erfasst werden und dass auf die Daten nur Personen Zugriff haben, welche diese für ihre Aufgabe tatsächlich auch benötigen. Zielsetzungen: Ausgehend von den Rahmenbedingungen eines vorhandenen Personalmanagementsystems (welches Personaldaten und die Lohnbuchhaltung verwaltet) und eines Spitaladministrationssystems (welches die Spitalstruktur mehr aus betriebswirtschaftlichen als aus klinischen Gesichtspunkten definiert und im übrigen das Patienten- und Fallmanagement innehält) wurde eine automatisierte Benutzerverwaltung entwickelt. Zusätzlich wurde die dafür nötige Schnittstelle zum i-pdos konzipiert und erfolgreich implementiert. Dabei galt es, die jeweils richtige Granularität zu finden, um die Rechteeinteilung so fein wie nötig und so einfach als möglich vornehmen zu können. Material: Aufgrund gesetzlicher Vorgaben (Zugriff auf Patientendaten im Prinzip nur fürs Behandlungsteam), der Möglichkeiten des Produktes Phoenix der Firma Parametrix und der Anforderungen eines Universitätsspitals (35 Kliniken arbeiten interdisziplinär zusammen) musste ein pragmatischer Weg für die Benutzerverwaltung und Zugriffskontrolle gefunden werden. Der strategische Entscheid, auf eine Masterdossierstruktur zu setzen, machte es nötig, eine in der Grundversion von Phoenix so nicht enthaltene Zwischenstufe für die Berechtigungssteuerung in Form einer Zugriffsmatrix einzuführen. Dabei kann für jede Klinik (z.B. Bettenstation Rheumatologie) und jede Benutzergruppe (z.B. Assistenzarzt Innere Medizin) je ein Level von 0 bis 4 vergeben werden. 0 verbietet einen Zugriff, 1 erlaubt den Zugriff nur mit Begründung (Umgehungszugriff, welcher speziell protokolliert wird), 2 entspricht dem Lesezugriff, 3 bedeutet Schreibzugriff und 4 ist ein Schreibzugriff mit der Möglichkeit Rechte an andere i-pdosBenutzer zu übertragen. Sämtliche Zugriffe werden protokolliert. Erst galt es, die relevanten Rohdaten bezüglich Spitalstruktur aus dem abrechnungsorientierten Spitaladministrationssystem und bezüglich Berufsgruppen aus dem lohnbuchhaltungsorientierten Personalmanagementsystem zusammenzustellen. Für die Spitalstruktur kam so ein mehrstufiger Hierarchiebaum zustande. Das sind 9 Departemente, worin sich 35 Kliniken mit rund 330 fachlichen Organisationseinheiten organisieren, worunter sich ein noch detaillierterer Kostenstellenplan ausbreitet. Im Personalsystem sind für die Gehaltsabrechnung neben der freitextlichen Berufsbezeichnung auch Berufsgruppenkategorisierungen verfügbar, nach einer feinen Granularität mit 675 Berufsrollen oder einer gröberen mit 155 Beschäftigungscodes. Methoden: Nach managementüblichen Grundsätzen (Analyse, Planung, Umsetzung, Steuerung) wurde mit Analysen der spitalinternen Bedürfnisse begonnen, die Möglichkeiten des KIS-Produktes geklärt, die Anforderungen des Datenschutzes geprüft und Analysen der vorhandenen und geplanten Umsysteme begonnen. Dazu gehörte eine Zusammenstellung aller Entitäten der im Personalsystem verfügbaren Berufsgruppeninformationen einerseits und aller Granularitäten der hierarchischen Spitalstruktur andererseits. Es wurde mit üblichen elektronischen Mitteln wie MS Excel, MS Access, aber auch PL/SQL und Sigmastat gearbeitet, häufig kamen dabei Pivot-Shift-Tabellen zur Anwendung. So wurde analysiert, bis zu welchem Grad sich die gegebenen Entitäten zusammenfassen liessen um dennoch die aus Klinikersicht praktikablen und sinnvollen Benutzerrollen abgrenzen zu können. Zudem war für jede Hypothese eine statistische Auswertung notwendig, wie gut sich das aktuelle Spitalpersonal damit tatsächlich einordnen lässt, bzw. welche theoretisch denkbaren Benutzergruppen überhaupt benötigt werden, da nicht unbedingt in allen Kliniken alle Berufsgruppen vertreten sind. Resultate:
Die derzeitige Zugriffslogik zum i-pdos findet sich in einer Matrix von 378 x 238 Feldern wieder. Damit sind knapp 90’000 Einstellungen möglich. Dabei steht die Zahl 238 für 238 Spalten mit den fallführenden Organisationseinheiten und die 378 für die 378 Zeilen mit den vorhandenen Benutzergruppen aus rund 35 Kliniken x durchschnittlich 10 Berufsrollen pro Klinik (z.B. Chefarzt, Oberarzt, Assistenzarzt, Student, Pflegekader, Pflegeperson, Pflegeassistent, Chefsekretariat, Sekretariat, Medizinisch-therapeutische Beruf). Es konnte zum einen eine praktikable Verdichtung der 155 Beschäftigungscodes auf schliesslich 22 ipdos-Rollen definiert werden. Zum anderen liess sich aus den Kostenstellenangaben, auf welche der Lohn eines Angestellten verbucht wird, der wahrscheinliche Arbeitsort ableiten, was schliesslich über ein Regelwerk eine automatische Zuordnung zu einer der 378 Benutzergruppen möglich macht. So liefert die Personalschnittstelle bei einer bereits schwer überschaubaren Menge von rund 9000 Angestellten zeitnah alle nötigen Informationen für Personalmutationen, um in i-pdos Benutzeraccounts anzulegen mit der richtigen Klinik- und Berufsgruppenzuteilung und mit dem korrekten Beschäftigungsstart- und allfälligem Schlussdatum bei befristeter Anstellung. Manuelle Abweichungen von den automatisch zugewiesenen Rollen sind möglich. Sie bedürfen einer Bewilligung. Die derzeitige Anzahl der auf diese Weise automatisch angelegten Accounts beträgt 6460, demgegenüber beträgt die Anzahl manuell angelegter Accounts 85 (1.3% des Totals). Möchte ein Benutzer mit einer bestimmten Rolle auf ein Patientendossier zugreifen, werden vier Checks durchgeführt: 1. Dossierzuweisung: Aufgrund der Berufsrolle erfolgt die Zuweisung einer berufsspezifischen Dossieransicht, so bekommen beispielsweise die Ärzte eine andere Sicht auf die Dokumentation als die Pflege. 2. Verbergewunsch: Pro Patienten-Fall kann ein Flag gesetzt werden, welches die Suche über den Namen unterbindet, was zum Beispiel beim Personal, bei Prominenten, bei Gewaltopfern, oder auf Patientenwunsch sinnvoll ist. Gefunden werden solche über eine Stationsübersicht oder über die Patientenidentifikationsnummer. 3. Zugriff laut Zugriffsmatrix (378 x 238 Felder, s.o). 4. Übertragene Berechtigung: Wenn für einen Benutzer aufgrund der Zugriffsmatrix kein Zugriff vorgesehen ist, kann er sich durch einen berechtigten User temporär Zugriff auf eine Patientendokumentation gewähren lassen, z.B. für eine konsiliarische Mitbetreuung. Diskussion: Nach 6 Monaten Produktivbetrieb mit rund 1200 Benutzern in 35 Kliniken zeigt sich, dass eine PersonalSchnittstelle zum KIS den Aufwand des Usermanagements erheblich erleichtern kann. Mit den 22 Berufsrollen können bisher die Anforderungen der bisher implementierten klinischen Prozesse abgedeckt werden. Es hat sich auch bestätigt, dass für die Berechtigungssteuerung nur die fallführenden 238 fachlichen Organisationseinheiten von Bedeutung sind (es existieren aus abrechnungstechnischen Gründen weit mehr fachliche Organisationseinheiten). Von Anfang an war klar, dass neben den klinikweiten Rollen auch departementweite Rollen (wie Informatiker, Med. Controller) und gesamtspitalweite Rollen (wie Physiotherapie, Sozialberatung, Patientenadministration) benötigt werden. Auch in diesen Fällen kann das automatische Regelwerk Benutzerkonten anlegen. An Grenzen stossen wir aktuell bei Mehrfachanstellungen, weil das Personalsystem die Umsysteme nur über die Hauptanstellung informiert. Hier ist derzeit ein manuelles Anlegen eines Zweitaccounts nötig. Ein anderes Problem können fremdliegende Patienten bei interdisziplinärer Bettenbelegung sein. Dort kann die Berechtigung für Ärzte (die Berechtigung für ihr Fachgebiet, aber auf anderen Stationen) anders aussehen als für die Pflege (Zugriff auf ihre zuständige Station mit ev. fachfremden Patienten). Am Inselspital eine besondere Herausforderung war das House-Staff-Konzept (das sind im Prinzip an anderen Kliniken tätige Assistenz- und Oberärzte der Inneren Medizin). Da hier häufige, teilweise unvorhersehbare Schicht- und Einsatzortswechsel vorkommen, sind Ärzte dieser Klinik relativ breit berechtigt. Manuellen Pflegeaufwand generieren derzeit noch die Gruppe der nicht gehaltbeziehenden Unterassistenten, Belegärzte und externe Konsiliarii, da sie (noch) nicht erfasst werden im Personalsystem.
Zu den Kosten der Lösung („plug and pay?“) kann vorläufig geschlossen werden, dass die Anfangsinvestition der Integration durch den verringerten manuellen Aufwand der Pflege von Benutzerkonten wahrscheinlich in kurzer Zeit kompensiert sein wird. Das Inselspital plant mittelfristig, ein umfassendes Identity Management System für alle wichtigen Applikationen und Services einzuführen. Eine besondere Herausforderung wird die Definition unternehmensweit verbindlicher Rollen und Objekte sein. Die aus dem KIS-Betrieb gewonnenen Erkenntnisse dürften eine wichtige Grundlage hierfür darstellen