Legekontorledelse: Juridisk og administrativ overholdelse

Et legekontor er underlagt tre regelverk som verken har samme tilsynsmyndighet, samme tidsplan eller samme sanksjoner: de etiske og faglige forpliktelsene overfor tilsynsordenen, arbeidsgiverforpliktelsene, og reglene som gjelder for helsedata. Utfordringen ligger ikke i kompleksiteten til hvert enkelt regelverk, men i at de utvikler seg parallelt — og at et brudd på ett av dem ofte oppdages i forbindelse med en kontroll som gjelder et annet.

Etablering og rammene for virksomheten

Utøvelse av yrket forutsetter registrering i det kompetente fagorganets register og registrering av vitnemålet. Avtalen om virksomhetsform — samarbeid, fritt yrkessamarbeid, vikariat — skal meldes til fagorganet, som kontrollerer at den er i samsvar med de etiske reglene.

Tre punkter blir ofte undervurdert på dette stadiet:

• En konkurranseklausul eller klausul om forbud mot ny etablering i en samarbeidsavtale må være tidsbegrenset, geografisk avgrenset og forholdsmessig. En for vidtrekkende klausul settes til side, men det er bedre å forhandle den fram enn å måtte føre sak om den.
• En vikaravtale må være skriftlig og oversendes fagorganet, også ved et kort vikariat.
• yrkesansvarsforsikringen må tegnes før den første handlingen utføres, med særlig oppmerksomhet på dekning av tidligere perioder dersom det har vært tidligere yrkesutøvelse — et tema vi går nærmere inn på i vår artikkel om yrkesansvarsforsikring.

Legekontoret som arbeidsgiver

Fra den første ansettelsen — sekretær, assistent, sykepleier — blir legekontoret en arbeidsgiver underlagt arbeidsretten og gjeldende tariffavtale.

De mest grunnleggende forpliktelsene er dem som umiddelbart avdekkes ved en kontroll: forhåndsmelding om ansettelse, skriftlig arbeidsavtale når dette kreves, obligatoriske oppslag, samlet personalregister, informasjons- og forebyggingssamtale, og dokumentasjon av risikovurdering av arbeidsmiljøet.

Sistnevnte mangler oftest i mindre virksomheter, selv om det er obligatorisk fra og med den første ansatte. På et legekontor må det dekke spesifikke risikoer: biologisk eksponering, tunge løft, psykososiale belastninger og skjermarbeid.

I tillegg kommer registrering av arbeidstid når arbeidstidene ikke er kollektive, og bevisspørsmålene rundt dette er nærmere beskrevet i vår artikkel om overtid.

Helsedata i den daglige driften

Dette er det regelverket der brudd koster mest, og det avgjøres av helt vanlige hverdagslige handlinger.

Legekontoret er behandlingsansvarlig for pasientenes data. Det må føre en protokoll over behandlingsaktiviteter, informere pasientene, fastsette lagringstider og kontraktsregulere sine databehandlere — programvareleverandør, driftsleverandør, sekretariatstjeneste.

Tre praktiske krav følger av dette:

• Lagring av data må skje hos en aktør som er sertifisert for dette formålet, også når fagprogramvaren brukes som en nettbasert tjeneste.
• Tilgangsrettighetene må være individuelle og differensierte: en konto som deles av flere personer, gjør all sporbarhet umulig og utgjør i seg selv et brudd.
• Utveksling av helsedata mellom fagpersoner forutsetter en sikker helsemeldingstjeneste, ikke en vanlig e-posttjeneste for allmennheten.

Logging av tilgang og lagringstidene som gjelder spesifikt for pasientjournalen, er nærmere beskrevet i vår artikkel om den elektroniske pasientjournalen, og reglene om deling i artikkelen om taushetsplikten.

Mottak av publikum og lokalene

Legekontoret er et lokale åpent for publikum, noe som medfører krav til tilgjengelighet og brannsikkerhet tilpasset dets kategori. Et offentlig tilgjengelighetsregister må holdes tilgjengelig.

I tillegg kommer plikten til å vise honorarer og betingelser for dekning, samt informasjon om hvordan tvister kan løses.

Håndtering av smittefarlig avfall fra helsetjenester skal skje gjennom en dedikert avfallsordning, med avtale med en godkjent leverandør og oppbevaring av følgesedler. Dette er et enkelt og hyppig kontrollpunkt.

Fakturering og forholdet til helsemyndighetene

Faktureringen følger gjeldende nomenklaturer og reglene om honorarpåslag, som det er obligatorisk å opplyse om.

To dokumentasjonsplikter bør organiseres på forhånd: oppbevaring av behandlingsskjemaer og bilag i henhold til gjeldende oppbevaringstider, og sporbarhet av reseptutstedelser, som beskrives nærmere i vår artikkel om digitale resepter.

En kontroll fra helsemyndighetene retter seg hovedsakelig mot samsvaret mellom fakturerte tjenester og pasientjournaler. Dette er punktet der kvaliteten på journalføringen har direkte betydning, langt utover dens medisinske funksjon.

Brukstilfeller

Første ansettelse. Følg denne rekkefølgen: forhåndsmelding, skriftlig arbeidsavtale, tilmelding til bedriftshelsetjenesten, risikovurderingsdokumentasjon. Sistnevnte er det som oftest glemmes og som oftest etterspørres.

Bytte av fagprogramvare. Kontroller sertifiseringen av datalagringen, muligheten til å hente ut dataene igjen og eksportformatet før avtalen signeres. En migrering uten gjenopprettingsplan medfører risiko for tap av journaler hvis lagringsfrister fortsatt løper.

Samarbeid mellom flere behandlere. Differensier tilgangsrettighetene til journaler etter behandler og etter pasient. Det at man tilhører samme virksomhet, innebærer ikke automatisk deltakelse i behandlingen av hver enkelt pasient.

Vanlige spørsmål

Er risikovurderingsdokumentasjonen obligatorisk for et lite legekontor? Ja, fra og med den første ansatte, uten noen terskel for antall ansatte. Den må dekke risikoer som er spesifikke for virksomheten, inkludert biologiske og psykososiale risikoer.

Må man bruke en sertifisert driftsleverandør for en nettbasert programvareløsning? Ja, så snart helsedata lagres på vegne av legekontoret. Det er legekontoret, som behandlingsansvarlig, som må sørge for denne kontrollen.

Er en delt IT-konto akseptabel? Nei. Tilgangsrettighetene må være individuelle, ellers er ingen sporing av tilgang mulig — noe som i seg selv utgjør et brudd.

Kan man utveksle pasientdata via ordinær e-post? Nei. Utveksling av helsedata mellom fagpersoner forutsetter en dedikert sikker meldingstjeneste.

Hvilke forpliktelser gjelder for helseavfall? En dedikert avfallsordning, en avtale med en godkjent leverandør, og oppbevaring av følgesedler, som ofte etterspørres ved kontroll.

Er en klausul om forbud mot ny etablering gyldig? Bare dersom den er tidsbegrenset, geografisk avgrenset og forholdsmessig i forhold til beskyttelse av legitime interesser. En for vidtrekkende klausul settes til side av domstolen.

Å huske

Tre regelverk utvikler seg parallelt, og hvert har sin egen tilsynsmyndighet. Det enkleste å bli i samsvar med er arbeidsgiverregelverket, der bruddene er synlige og løsningene kjente — med risikovurderingsdokumentasjonen på topp. Det mest kostbare er regelverket for helsedata, der helt vanlige handlinger fører til brudd: delt konto, vanlig e-posttjeneste, ukontrollert datalagring.

Ett tiltak dekker alle tre områdene samtidig, og det er det man bør starte med: individuelle og differensierte tilgangsrettigheter, kombinert med logging av tilgang. De viser at grensen for «det som er nødvendig for oppdraget» er overholdt, de beskytter behandleren dersom en tilgang blir stilt spørsmål ved, og de utgjør det sporet som forventes ved en faktureringskontroll så vel som ved et ansvarsspørsmål.