Protokolleinstellungen und Profil Gesundheitswesen

In go flow werden Anmeldungen, abgelehnte Aktionen und die von jeder Änderung betroffenen Felder immer aufgezeichnet; das lässt sich nicht ausschalten. Darüber hinaus entscheiden Sie, wie viel mehr Ihr Mandant aufbewahrt. Zwei Stellen steuern das:

• die vier Protokolleinstellungen jeder Organisation, die festlegen, was aufgezeichnet wird und wie lange, und
• die Datenschutzeinstellungen jedes Kundenfeldes, die festlegen, wie streng eine einzelne Antwort geschützt wird.

Leistungserbringer im Gesundheitswesen können das Profil Gesundheitswesen setzen, das die strengsten Werte für Sie festlegt.

Protokolleinstellungen einer Organisation

Öffnen Sie Konfigurationen > Organisation, wählen Sie die Registerkarte Profil und suchen Sie in der Tabelle Attribute unter der Überschrift Protokollierung. Dort stehen die vier Einstellungen beisammen. Sie gehören jeweils zu einer Organisation: Sie werden nicht von Ihrer Gruppe vererbt und erscheinen nicht, wenn Sie die Gruppe selbst bearbeiten. Legen Sie sie für jede Organisation fest, die sie braucht. Sie benötigen das Recht, diese Organisation zu bearbeiten, siehe Organisationseinstellungen.

Einstellung	Was sie bewirkt
Änderungsverlauf aufbewahren	Ein: Die Werte eines Datensatzes vor jeder Änderung werden aufbewahrt, sodass eine Änderung nachvollzogen und ein Datensatz wiederhergestellt werden kann. Aus (Standard): Es wird nichts aufbewahrt.
Aufbewahrung des Protokolls (Monate)	Wie lange Änderungsverlauf und Zugriffseinträge aufbewahrt werden, von 12 bis 120 Monaten. Standardmässig 24.
Protokollieren, wer Kundendaten liest	Ein: Das Öffnen eines Kunden wird aufgezeichnet, und Felder mit der Einstellung Beim Öffnen protokolliert werden erst geladen, wenn ein Kunde geöffnet wird. Aus (Standard): Lesezugriffe werden nicht aufgezeichnet, und Felder mit der Einstellung Beim Öffnen protokolliert funktionieren wie jedes andere Feld. Felder mit der Einstellung Immer protokolliert sind unabhängig davon geschützt.
Protokollprofil	Standard (Vorgabe) überlässt Ihnen die drei Einstellungen darüber. Gesundheitswesen schaltet Änderungsverlauf und Protokollierung der Lesezugriffe ein und legt die Aufbewahrung auf 120 Monate fest.

Änderungsverlauf aufbewahren

Das Einschalten startet den Änderungsverlauf: Ab der nächsten Änderung behält jede Änderung an den Datensätzen der Organisation die früheren Werte, und Sie können sie wiederherstellen. Für Änderungen davor wird nichts wiederhergestellt. Das Ausschalten beendet das Aufbewahren neuer Versionen; bereits aufbewahrte Versionen bleiben bis zum Ende der Aufbewahrungsdauer erhalten.

Aufbewahrung des Protokolls (Monate)

Die Dauer gilt für den Änderungsverlauf der Organisation und für ihre Einträge der Kategorie Zugriff im Audit-Protokoll. Einträge, die älter als die Dauer sind, werden durch eine tägliche Bereinigung entfernt und lassen sich nicht zurückholen. Das Verkürzen der Dauer löscht daher die älteren Einträge bei der nächsten Bereinigung. Das Verlängern bewahrt die Einträge, die noch vorhanden sind, länger auf; bereits entfernte Einträge kehren nicht zurück. Die übrigen Kategorien des Protokolls (Anmeldung, Daten, Geld und Administration) behalten ihre eigene Dauer von 13 Monaten, was immer Sie hier einstellen.

Protokollieren, wer Kundendaten liest

Das ist der Schalter hinter der Protokollierung der Lesezugriffe. Solange er eingeschaltet ist, erscheinen die Einträge Kundendatensatz geöffnet, Geschützte Kundenfelder angezeigt und Daten auf ein Gerät synchronisiert im Protokoll, und die Kundenfelder mit der Einstellung Beim Öffnen protokolliert verlassen die Synchronisierung. Kundenfelder mit der Einstellung Immer protokolliert verlassen sie in jeder Organisation, und ihr Laden wird aufgezeichnet, ob dieser Schalter ein- oder ausgeschaltet ist.

Das Einschalten zeichnet Lesezugriffe ab diesem Moment auf; nichts Früheres wird aufgezeichnet. Bei ihrer nächsten Synchronisierung entfernen die Geräte die Antworten der Felder mit der Einstellung Beim Öffnen protokolliert, auch früher gegebene, und laden sie erst, wenn ein Kunde geöffnet wird. War ein solches Feld eine Spalte der Kundenliste oder suchbar, bleibt seine Spalte leer, und die Suche findet es nicht mehr: Öffnen Sie das Feld und speichern Sie es, dann schaltet der Editor In Tabelle anzeigen und Suchbar aus (siehe Regeln, die der Editor anwendet). Das Ausschalten beendet neue Einträge; die bereits aufgezeichneten bleiben, bis die Aufbewahrungsdauer sie entfernt.

Protokollprofil

Die Auswahlliste bietet Standard und Gesundheitswesen. Siehe unten.

Eine Änderung wird aufgezeichnet

Ändern sich die Protokolleinstellungen einer gespeicherten Organisation in ihrer Wirkung, zeichnet das Audit-Protokoll Audit-Einstellungen geändert (audit.settings.changed) in der Kategorie Administration auf, mit den Namen der geänderten Einstellungen unter Änderungen. Das Einschalten des Profils Gesundheitswesen und das erneute Ausschalten werden auf dieselbe Weise aufgezeichnet. Eine Einstellung, die sich nur verschiebt, weil das Profil sie anwendet, gilt als geändert.

Land und Datenschutzrecht

Die Protokolleinstellungen hängen von keinem Land ab, doch das Land der Organisation (in derselben Tabelle Attribute, siehe Organisationseinstellungen) bestimmt, welches Gesetz der Datenexport für betroffene Personen und Kundendaten löschen nennen: die DSGVO für eine Organisation in der EU oder im EWR, das Schweizer DSG für eine Schweizer Organisation und kein Gesetz für jedes andere Land. Es ändert nur die Angabe des Gesetzes, nicht, was aufgezeichnet, aufbewahrt, exportiert oder gelöscht wird.

Das Profil Gesundheitswesen

Das Profil Gesundheitswesen ist für Leistungserbringer gedacht, die lückenlos festhalten müssen, wer Patientendaten gesehen und geändert hat. Wählen Sie unter Protokollprofil den Wert Gesundheitswesen. Das Formular setzt gleichzeitig:

• Änderungsverlauf aufbewahren auf ein,
• Protokollieren, wer Kundendaten liest auf ein,
• Aufbewahrung des Protokolls (Monate) auf 120.

Solange das Profil gesetzt ist, sind diese drei fixiert:

• Unter der Tabelle Attribute erscheint ein Hinweis: „Profil Gesundheitswesen: Änderungsverlauf und Protokollierung der Lesezugriffe bleiben eingeschaltet, und Protokolleinträge werden 120 Monate aufbewahrt. Mit der Wahl des Profils werden diese Werte gesetzt; solange es gesetzt ist, lassen sie sich nicht senken.“
• Senken Sie dennoch einen Wert, listet ein roter Hinweis ihn unter „Diese Einstellungen sind fixiert, solange das Profil Gesundheitswesen gesetzt ist:“ mit dem Grund auf, zum Beispiel „Aufbewahrung des Protokolls (Monate): bleibt im Profil Gesundheitswesen bei 120“. Die Schaltfläche Speichern bleibt deaktiviert, bis der Wert wieder stimmt, und der Server lehnt ein Speichern ab, das einen davon senkt.
• Sie können das Profil verlassen. Wählen Sie Standard; die drei Einstellungen behalten ihre Werte, bis Sie sie ändern, und danach dürfen Sie sie senken. Das Verlassen wird im Audit-Protokoll wie jede andere Änderung dieser Einstellungen aufgezeichnet.

Das Profil verschärft auch den Datenschutz der Felder, wie unten beschrieben: Da die Protokollierung der Lesezugriffe immer eingeschaltet ist, ist jedes Feld mit der Einstellung Beim Öffnen protokolliert oder Immer protokolliert geschützt, und ein geschütztes Feld wird in Listen und in der Suche nicht angezeigt.

Datenschutzeinstellungen der Felder

Jedes Kunden-, Journal- und Terminfeld hat in seinem Editor einen Abschnitt Datenschutz: Öffnen Sie Konfigurationen > Vorlagen, wählen Sie die Registerkarte Felder und öffnen Sie ein Feld (der Editor ist unter Felder beschrieben). Die Registerkarte Felder der Organisationseinstellungen öffnet denselben Editor. Einwilligungs- und Prozess-Felder haben keinen Abschnitt Datenschutz, ebenso wenig die berechneten Kundenfelder, die go flow selbst füllt, etwa das Bild, die Guthaben, die Besuche und der letzte Besuch. Der Abschnitt enthält:

Einstellung	Optionen	Was sie bewirkt
Datenkategorie	Identität, Kontakt, Buchung, Finanzen, Gesundheit, Biometrisch, Besonders schützenswert, Andere (Standard)	Sagt, um welche Art personenbezogener Daten es sich bei der Antwort handelt, sodass die Plattform nie raten muss, was Ihr Feld bedeutet. Gesundheit, Biometrisch und Besonders schützenswert sind die geschützten Kategorien.
Lesezugriffe protokollieren	Nicht protokolliert, Beim Öffnen protokolliert, Immer protokolliert	Ob das Lesen der Antwort aufgezeichnet wird. Standardmässig nicht protokolliert, bei einer geschützten Kategorie aber beim Öffnen protokolliert. Wählen Sie eine geschützte Kategorie, während das Feld auf Nicht protokolliert steht, wird es auf Beim Öffnen protokolliert gesetzt.
Aufbewahrung (Monate)	0 bis 120	Wie lange die Antwort aufbewahrt wird, nachdem ihr Kundendatensatz gelöscht wurde. Ist der Kunde so viele Monate gelöscht, löscht ein automatischer Auftrag die Antwort beim Kunden, in seinen Buchungen und in seinen Journaleinträgen. 0 bewahrt die Antwort zusammen mit dem Datensatz auf.
Verlauf	Jede Version, Nur der letzte Wert, Kein Verlauf	Wie der Änderungsverlauf die Antwort zeigt: jede Version, nur den aktuellen Wert (frühere Einträge zeigen ihn maskiert) oder gar nicht.
Im Export zur Datenübertragbarkeit enthalten	Ein oder aus	Legt die Antwort in den Übertragbarkeitsteil des Datenexports für betroffene Personen statt in den Auskunftsteil. Standardmässig folgt es der Einstellung Selbstverwaltet.
FHIR-Ressource	Text bis zu 40 Zeichen	Wird nur für die Kategorie Gesundheit angezeigt. Der standardisierte Gesundheitsdatensatz-Typ, zu dem die Antwort in einem Export im Gesundheitswesen wird, zum Beispiel Observation, Condition oder AllergyIntolerance.

Beim Öffnen protokolliert gilt nur, solange die Organisation Lesezugriffe protokolliert (Protokollieren, wer Kundendaten liest eingeschaltet oder das Profil Gesundheitswesen). Immer protokolliert gilt in jeder Organisation, unabhängig von dieser Einstellung. Ein Feld, das zu einem bestimmten Zeitpunkt protokolliert wird, heisst hier aktuell protokolliert. Bei einem aktuell protokollierten Feld wird ein Lesezugriff aufgezeichnet, wenn ein Kunde geöffnet wird und dabei die Antwort geladen wird, oder wenn ein Änderungsverlauf sie zeigt.

Die Aufbewahrung zählt ab der Löschung des Kundendatensatzes (Kundendatensatz löschen, siehe Datensatz löschen oder Personendaten löschen?), nicht ab dem letzten Besuch. Solange der Kundendatensatz nicht gelöscht ist, löscht nichts die Antwort. Der automatische Auftrag läuft täglich und richtet sich nach den aktuellen Einstellungen; eine Aufbewahrung, die Sie jetzt festlegen, löscht bei seinem nächsten Lauf also auch die Antworten von Kunden, die schon länger als diese Dauer gelöscht sind. Führt die Organisation einen Änderungsverlauf, behalten die früheren Versionen dort die gelöschte Antwort, bis die Aufbewahrung des Protokolls sie entfernt. Die Aufbewahrung eines geschützten Feldes lässt sich erhöhen, aber nicht senken, siehe unten.

Wann eine Änderung wirkt

Einstellung	Eine Änderung gilt für
Datenkategorie, Im Export zur Datenübertragbarkeit enthalten, FHIR-Ressource	Jeden späteren Export, auch für früher gegebene Antworten.
Lesezugriffe protokollieren	Lesezugriffe ab dem Speichern; nichts Früheres wird aufgezeichnet. Ein Feld, das neu aktuell protokolliert wird, verlässt die Geräte bei ihrer nächsten Synchronisierung, auch mit früher gegebenen Antworten.
Verlauf	Jede spätere Ansicht des Verlaufs, auch für früher aufbewahrte Versionen: Die Einstellung bestimmt, was gezeigt wird, nicht, was aufbewahrt wird.
Aufbewahrung (Monate)	Bereits gelöschte Kunden ebenso wie später gelöschte, beim nächsten täglichen Lauf.

Regeln, die der Editor anwendet

• Ein Feld, dessen Lesezugriffe protokolliert werden, wird als Sensibel gespeichert. Das Kontrollkästchen Sensibel ist angehakt und lässt sich nicht abwählen, solange Lesezugriffe protokollieren auf etwas anderes als Nicht protokolliert steht.
• Solange es aktuell protokolliert wird, kann es nicht in Listen oder in der Suche erscheinen. Ein Feld mit der Einstellung Immer protokolliert, oder mit Beim Öffnen protokolliert in einer Organisation, die Lesezugriffe protokolliert, gehört nicht zur Kundenliste: Seine Antwort wird stattdessen geladen, wenn ein Kunde geöffnet wird. In Tabelle anzeigen und Suchbar sind deshalb ausgeschaltet und lassen sich nicht anhaken, und der Server lehnt sie ab. Zwei Hinweise unter dem Abschnitt erklären das: einer sagt, dass Lesezugriffe auf das Feld protokolliert werden, und einer lautet „Ein aktuell protokolliertes Feld wird in Listen und in der Suche nicht angezeigt.“
• Ein Feld mit der Einstellung Beim Öffnen protokolliert darf in Listen und in der Suche erscheinen, solange die Organisation keine Lesezugriffe protokolliert, denn dann ist nichts geschützt. Im Profil Gesundheitswesen ist die Protokollierung der Lesezugriffe immer eingeschaltet, dort gilt das nie.
• Ein geschütztes Feld bleibt geschützt. Ein Feld der Kategorie Gesundheit, Biometrisch oder Besonders schützenswert behält seine Kategorie. Lesezugriffsprotokollierung und Aufbewahrung lassen sich erhöhen, aber nicht senken: Die schwächeren Optionen sind deaktiviert, und eine kürzere Aufbewahrung zeigt „Die Aufbewahrung eines geschützten Feldes lässt sich nicht verkürzen (derzeit N; 0 bewahrt die Antwort zusammen mit dem Datensatz auf).“ und blockiert Speichern. Dabei gilt 0 als die längste Aufbewahrung überhaupt. Ein Hinweis am Ende des Abschnitts lautet „Dieses Feld gehört zu einer geschützten Kategorie (Gesundheit, Biometrisch oder Besonders schützenswert). Es behält seine Kategorie, und Lesezugriffsprotokollierung und Aufbewahrung lassen sich erhöhen, aber nicht senken.“

Sie können diese Einstellungen überall ändern, wo Sie das Feld bearbeiten dürfen.