Introduction
Ce guide vise à aider les responsables de l'information sur la santé et les administrateurs de site Ocean à examiner et interpréter le journal d'audit de votre site Ocean pour la conformité à la LPRPS en ce qui concerne l'audit et la surveillance.
Sous la direction de la Loi canadienne sur la protection des renseignements personnels et les documents électroniques (LPRPDE) / la Loi sur la protection des renseignements personnels sur la santé (LPRPS), les responsables de l'information sur la santé (RIS), y compris les médecins et les infirmières praticiennes, ont le devoir de s'assurer que les plateformes contenant des RPS sont auditées et que les journaux d'audit sont examinés de manière périodique et aléatoire pour aider à protéger les informations personnelles sur la santé (RPS) contre une utilisation ou une divulgation non autorisée.
Selon le Commissariat à l'information et à la protection de la vie privée de l'Ontario :
"La journalisation, l'audit et la surveillance de tous les accès aux dossiers électroniques contenant des renseignements personnels sur la santé sont importants pour garantir la confidentialité des individus et la confidentialité de leurs renseignements personnels sur la santé. La capacité de journaliser tous les cas où des renseignements personnels sur la santé sont recueillis, utilisés et divulgués par des mandataires permettra aux responsables de répondre aux demandes d'information et aux plaintes concernant la collecte, l'utilisation ou la divulgation des renseignements personnels sur la santé d'un individu; d'auditer et de surveiller toutes les collectes, utilisations et divulgations de renseignements personnels sur la santé par l'ensemble de leurs mandataires; et d'enquêter sur des violations de la vie privée réelles ou présumées, y compris des cas d'accès non autorisé. La journalisation, l'audit et la surveillance peuvent constituer un moyen efficace de dissuasion contre les accès non autorisés si tous les mandataires sont informés que toutes leurs activités liées aux dossiers électroniques contenant des renseignements personnels sur la santé seront journalisées ...
La politique et les procédures devraient exiger que le responsable effectue un audit et une surveillance continus, ciblés (réactifs) et aléatoires (proactifs) des journaux"
Journalisation d'audit dans Ocean
Ocean, en tant que système offrant un accès aux RPS pour les utilisateurs, devrait être inclus dans les activités d'audit régulières des RIS (en plus du DMÉ du site et d'autres plateformes contenant des RPS).
Pour aider à cette tâche, Ocean capture toutes les activités des utilisateurs liées au stockage, à la récupération et à la présentation des RPS à la fois à partir du DMÉ sous-jacent et d'Ocean lui-même. Toutes les données d'audit pour un site Ocean spécifique sont disponibles en téléchargement à tout moment.
Les journaux et les exportations d'Ocean ne fournissent un accès qu'aux activités spécifiques au site Ocean. D'autres activités, telles que les interactions avec un DMÉ sous-jacent ou les activités de divulgation ultérieures (telles que l'impression / l'envoi par courriel de RPS), ne sont pas capturées par Ocean. Pour examiner ces activités, il est recommandé aux administrateurs de site de consulter également les journaux d'audit du DMÉ ainsi que les journaux d'utilisation spécifiques des terminaux informatiques conformément à la politique d'audit interne.
Exportation des données d'audit
Pour exporter le journal d'audit, accédez à la section Rapports de votre page d'administration du site Ocean. Choisissez la date de début et de fin pertinente, et choisissez l'utilisateur "Tous" pour un audit global du site.
Le rapport est ensuite téléchargé sous forme de fichier CSV, qui peut être ouvert et consulté par toute application de tableur grand public telle qu'Excel ou Google Sheets.
Bien que le rapport d'audit en lui-même ne contienne aucun RPS, il doit néanmoins être traité comme une documentation sensible, avec les sauvegardes appropriées en place pour la transmission, le stockage et la suppression cryptés de ces informations, comme requis.
Ocean fournit aux administrateurs de site un accès direct aux données d'audit des deux derniers mois. Les entrées d'audit plus anciennes sont archivées et peuvent être obtenues en soumettant un ticket de support.
Description du Rapport d'Audit
Lorsque le fichier CSV est ouvert dans une application de tableur, les colonnes suivantes devraient être visibles. Une ligne d'exemple est incluse dans la capture d'écran à titre d'exemple.
Les données d'audit représentent une extraction directe des valeurs stockées dans Ocean, et peuvent être interprétées à l'aide de ce guide :
|
Nom de la Colonne |
Description |
|
_id |
Un identifiant unique pour l'entrée de journal. |
|
creationDate |
La date à laquelle l'entrée de journal a été créée (c'est-à-dire, la date et l'heure de l'événement) |
|
siteNum |
Le numéro de site Ocean du site où l'activité a été effectuée. |
|
user |
Le nom d'utilisateur de l'utilisateur Ocean effectuant l'action. |
|
userFullName |
Le nom complet de l'utilisateur Ocean effectuant l'action. |
|
action |
Le type d'entrée de journal d'audit. Les actions peuvent représenter des conséquences explicites ou implicites des interactions de l'utilisateur. Veuillez consulter ce guide pour la documentation sur chaque action spécifique. |
|
propriétés |
Cette colonne, et les colonnes suivantes, représentent les propriétés ou valeurs associées à l'action. Elles fournissent le contexte nécessaire pour comprendre l'action, tel que l'identifiant du patient concerné. Chaque propriété est répertoriée séquentiellement avec son nom dans la première colonne, suivi de la valeur dans la colonne suivante. |
Points à Examiner en Termes de Confidentialité des Patients
Chaque action d'audit répertoriée ci-dessus représente une activité utilisateur qui peut être pertinente pour comprendre le contexte plus large du comportement enregistré de chaque utilisateur dans Ocean, vous devriez donc consulter le guide lié ci-dessus lorsque des audits de routine et/ou réactifs sont effectués sur votre site.
-
CONSULTER_PATIENTS : L'utilisateur a ouvert l'onglet Patients, qui affiche la vue récapitulative standard contenant les noms des patients :
- OBTENIR_PATIENT : Un dossier patient a été récupéré de la base de données par numéro de référence Ocean ("ref") et renvoyé à un client (pour le montrer à l'utilisateur dans le navigateur web ou pour une tablette/kiosque Ocean).
- TÉLÉCHARGER_PATIENT : Un patient a été téléchargé du DMÉ pour créer un dossier patient Ocean. Le ref est l'identifiant de référence assigné par Ocean ; externalPatientRef est l'identifiant patient du DMÉ ; le client est le système général qui a téléchargé le dossier patient ; et la version décrit la version du client.
Ces actions d'audit vous aideront à identifier les dossiers patients spécifiques qui ont pu être utilisés ou divulgués.