Retningslinjer
Oppføringene og dokumentene som opprettes, brukes og lagres av TELUS Health og Selskapets datterselskaper («TELUS Health» eller «Selskapet») er blant Selskapets viktigste aktiva. Dette omfatter alle Selskapets dokumenter og oppføringer i alle formater eller medier, både fysiske og elektroniske kopier, inkludert notater, korrespondanse, rapporter, arbeidspapirer, presentasjoner og e-poster («Oppføring» eller «Oppføringer»).
Formålet med disse Retningslinjene for behandling av oppføringer («Retningslinjene») er å definere og etablere krav til opprettelsen og behandlingen av autentiske, pålitelige, varige og brukbare Oppføringer som støtter Selskapets forretningsfunksjoner og aktiviteter. Retningslinjene er utformet for å sikre at Selskapet overholder lover og forskrifter, oppfyller juridiske/kontraktsmessige og arkivmessige krav, kan drive effektivt, tar vare på Oppføringer knyttet til rettslige og andre prosesser samt sletter Oppføringer når dette bør gjøres.
Bruksområde
Disse retningslinjene gjelder for alle områder av Selskapet («Programområde») og for alle Oppføringer uansett format (f.eks. oppføringer som er sendt eller mottatt via e-postkontoer, elektroniske oppføringer papiroppføringer osv.). Hver direktør, funksjonær, ansatt og leverandør i Selskapet (samlet kalt «Selskapets personell») er ansvarlig for å sikre at de forstår og overholder disse Retningslinjene.
I tillegg til å overholde disse Retningslinjene må Selskapets personell også overholde Selskapets Retningslinjer for konfidensielle opplysninger, Selskapets Retningslinjer for klassifisering av data og oppføringer, Selskapets Personvernerklæring, gjeldende personvernlovgivning samt vilkår i andre avtaler med Selskapet eller mellom Selskapet, dets partnere og dets kunder. Bruken av begrepet «Oppføring» i disse Retningslinjene har den samme betydningen som begrepet «Data» i Selskapets Retningslinjer for klassifisering av data og oppføringer.
Obligatoriske krav
Opprettelse, behandling og fjerning av Oppføringer
Hvert Programområde må, i samsvar med kravene og retningslinjene som et etablert i disse Retningslinjene, opprette, behandle og fjerne Oppføringer for å sikre programansvar og støtte Programområdets forretningsbehov. Hvert Programområde må også sikre integriteten, påliteligheten og tilgjengeligheten av Oppføringer for pågående juridiske, økonomiske eller andre forretningsmessige formål.
Ansvar for opprettelsen, behandlingen og fjerningen av Oppføringer ligger hos forretningseieren i Programområdet.
Klassifisering av Oppføringer
Oppføringer må klassifiseres etter forretningsfunksjonene og aktivitetene for hvert Programområde på en måte som:
- muliggjør at komplette Oppføringer knyttet til forretningsavgjørelser eller transaksjoner enkelt kan lokaliseres og hentes;
- minimerer dobbeltlagring av Oppføringer;
- muliggjør at brukertillatelser og beskyttelse av personvern og sikkerhet kan gjennomføres konsistent og i tilstrekkelig grad; og
- tillater at krav til oppbevaring kan brukes nøyaktig.
Når Oppføringer klassifiseres, må Selskapets personell følge Selskapets Retningslinjer for klassifisering av data og oppføringer samt Retningslinjene og standardene for informasjonssikkerhet.
Lagring og behandling av Oppføringer
Oppføringer må lagres i delte databaser og administreres av hvert Programområde på en måte slik at:
- de effektivt kan lokaliseres, identifiseres og hentes så lenge de er nødvendige;
- konsistent og omfattende bruk av sikkerhetsregler for tilgang, endring og fjerning brukes;
- unødvendig dobbeltlagring unngås; og
- effektiv fjerning, inkludert overføring til arkiver og lagring, i samsvar med kravene til oppbevaring, muliggjøres.
Oppbevaring og sletting av Oppføringer
Selskapets personell må oppbevare Oppføringer innenfor et Programområde så lenge det er nødvendig for å oppfylle et legitimt forretningsmessig eller juridisk formål. Man må ta hensyn til gjeldende lover og forskrifter samt vilkårene i avtaler med Selskapet eller mellom Selskapets, dets partnere og dets kunder.
Forretningseiere må sikre at Oppføringene i deres Programområde administreres, lagres og fjernes i samsvar med kravene i den gjeldende Planen for oppbevaring av oppføringer («Planen»).
Kravene til oppbevaring for Oppføringer, som fastsatt i den gjeldende Planen, bestemmes i samråd med fageksperter på hvert Programområde basert på:
- forretningsbehov;
- juridiske og forskriftsmessige krav som er spesifikke for Oppføringene;
- kontraktsmessige forpliktelser;
- behovet for å sikre ansvar for aktivitetene og beslutningene som er dokumentert av Oppføringene; og
- rettighetene og interessene til andre interessenter i bevaringen av innholdet i Oppføringene.
Oppføringer som er i besittelse hos Selskapet, inkludert relevante Programområder, kan være underlagt følgende:
- Rettslige prosesser; og
- Forespørsler om tilgang med henvisning til gjeldende juridiske og forskriftsmessige krav og vilkårene i andre avtaler med Selskapet eller mellom Selskapets, dets partnere og dets kunder.
Når en forespørsel mottas med henvisning til ovennevnte punkter, må Selskapets personell ta vare på og hente frem alle relevante Oppføringer og overholde kravene som er fastsatt i avsnittet for Rettslig sperre i disse Retningslinjene.
Oppbevaring av e-poster
Oppføringer som er opprettet, sendt eller mottatt via e-postkontoer, inkludert selve e-postene, er underlagt disse Retningslinjene.
Før en e-postkonto blir deaktivert eller slette, må Oppføringene som er opprettet, sendt eller mottatt via e-postkontoen administreres i samsvar med kravene som er fastsatt ovenfor.
Disse Oppføringstypene må ikke lagres på harddisken til en privatpersons datamaskin, på portalenheter eller flyttbare medier, på en privatpersons nettverksstasjon eller elektroniske arbeidsområde, på e-postkontoer, eller når det gjelder fysiske oppføringer, på en privatpersons fysiske fillagring.
Arkivering og lagring av oppføringer
Fysiske kopier av Oppføringer som ikke lenger krever umiddelbar tilgang som en aktiv oppføring, må fremdeles opprettholdes i resten av den fastsatte oppbevaringsperioden, og må arkiveres. Selskapets personell skal ta kontakt med Avdelingen for forretningstjenester eller regionkontorledelsen for å ordne arkivering av Oppføringer i en ekstern lagringsfasilitet som er godkjent av Selskapet. Når man ordner ekstern lagring, blir Selskapets personell nødt til å finne en dato for sletting av Oppføringen.
Rettslig sperre
Oppføringer som knytter seg til ventende og forventede rettslige prosesser, revisjon eller etterforskning, må bevares. En «Rettslig sperre» kan ilegges en Oppføring, uansett om oppføringen er i sin endelige, offisielle versjon eller ikke. Selskapets personell som mottar et varsel fra Avdelingen for juridiske saker, risiko og personvern eller gjennom en annen kilde om at bestemte Oppføringer er underlagt en Rettslig sperre, må umiddelbart sikre at alle Oppføringer som er underlagt den Rettslige sperren sikres og bevares, som beskrevet i varselet om Rettslig sperre. Dersom Selskapets personell blir klar over en ventende eller forventet rettslig prosess, revisjon, etterforskning eller stevning, må de sikre og ta vare på alle Oppføringer som kan være relevante, og gi beskjed til Avdelingen for juridiske saker, risiko og personvern.
Selskapets personell må ikke under noen omstendighet endre, slette eller skjule Oppføringer knyttet til en ventende eller forventet rettslig prosess, revisjon eller etterforskning. Enhver slik handling kan ha en betydelig innvirkning på rettsprosessen, revisjonen eller etterforskningen. Uautorisert endring, sletting eller skjuling av Oppføringer kan gi grunn til disiplinærtiltak for Selskapets personell, i verste fall avslutning av arbeidsforholdet, i tillegg til rettslig ansvar.
Årlig gjennomgang av Oppføringer
Selskapets personell må gjennomgå alle Selskapets Oppføringer, inkludert e-poster, som de har i sin besittelse, på regelmessig basis og minst én gang i året. Når dette gjøres, skal Selskapets Personell finne Oppføringer som har gått over sin fastsatte oppbevaringsperiode. Disse skal slettes. Men Oppføringer som er underlagt en Rettslig sperre eller som involverer en etterforskning eller revisjon, skal bevares.
Sletting av oppføringer
Oppføringer skal slettes dersom de oppfyller alle av følgende kriterier:
- Oppføringene har tjent sitt tiltenkte formål; og
- den gjeldende oppbevaringsperioden er utgått; og
- Selskapets personell som håndterer Oppføringene, har fått skriftlig bekreftelse til at disse Oppføringene ikke er underlagt en Rettslig sperre.
Spørsmål og etterlevelse
Spørsmål om oppbevaring av Oppføringer som ikke er omtalt i disse Retningslinjene, skal rettes til Avdelingen for juridiske saker, risiko og personvern, som vil gi anvisninger i samråd med fageksperter på Programområdet som Oppføringen relateres til.
Spørsmål om arkivering og sletting av fysiske kopier av Oppføringer (dvs. papirkopier) skal rettes til Avdelingen for forretningstjenester eller regionkontorledelsen.
Disse retningslinjene blir gjennomgått periodisk og endret etter behov av Avdelingen for juridiske saker, risiko og personvern, for å gjenspeile eventuelle endringer i lover, forskrifter eller forretningsbehov.