Policy

Register och dokument som skapas, används och lagras av TELUS Health, dess dotterbolag och partners (”TELUS Health” eller ”företaget”) är några av företagets viktigaste tillgångar. Detta inkluderar alla företagsdokument och -register i alla format eller medier, fysiska eller elektroniska, inklusive PM, korrespondens, rapporter, arbetsbeskrivningar, presentationer och e-postmeddelanden (”register”).

Syftet med denna registerhanteringspolicy (”policy”) är att definiera och fastställa krav för skapande och hantering av autentiska, pålitliga, beständiga och användbara register för att stötta företagets affärsfunktioner och -aktiviteter. Policyn är utformad för att säkerställa att företaget följer tillämpliga lagar och förordningar, uppfyller juridiska/avtalsmässiga krav på registerföring, effektivt driver verksamheten, sparar register relaterade till juridik och andra förfaranden, och kasserar register när det är lämpligt att göra detta.

Tillämpning

Denna policy gäller för alla områden inom företaget (”programområde”) och för alla register, oberoende av format (t.ex. register som skickats eller tagits emot på e-postkonton, elektroniska register, pappersregister, etc.). Varje direktör, chef, medarbetare eller underleverantör hos företaget (kollektivt benämnda som ”företagets personal”) ansvarar för att de förstår och följer denna policy.

I tillägg till att följa denna policy måste företagets personal också följa företagets policy för konfidentiell information, företagets policy för data- och registerklassificering, företagets integritetspolicy, alla säkerhetspolicyer, tillämplig lagstiftning gällande integritet, samt villkoren i alla andra avtal med företaget eller mellan företaget, dess partners och kunder. Användningen av termen ”register” i den här policyn har samma innebörd som termen ”data” i företagets policy för data- och registerklassificering.

Obligatoriska krav

Skapande, hantering och kassering av register

Varje programområde ska, i enlighet med kraven och riktlinjerna som upprättats i denna policy, skapa, hantera och kassera register för att säkerställa ansvarighet för programmet och stötta programområdets affärsbehov. Varje programområde ska också garantera registrens integritet, tillförlitlighet och tillgänglighet för pågående juridiska, affärsmässiga eller andra affärsrelaterade syften.

Ansvarighet för skapande, hantering och kassering av register ligger hos programområdets ägare.

Klassificering av register

möjliggör att kompletta register relaterade till affärsbeslut eller transaktioner är lättillgängliga;
minimerar duplicerad lagring av register;
gör det möjligt att tillämpa användarbehörigheter samt integritets- och säkerhetsskydd på ett konsekvent och lämpligt sätt;
gör det möjligt att tillämpa lagringskraven på ett lämpligt sätt.

När register klassificeras ska företagets personal följa företagets policy för data- och registerklassificering, samt policyn för informationssäkerhet och standarder.

Lagring och hantering av register

de effektivt kan lokaliseras, identifieras och hämtas så länge de behövs;
konsekvent och omfattande tillämpning av säkerhetsregler gällande åtkomst, ändringar och kassering kan upprätthållas;
onödiga dubbletter elimineras;
effektiv disposition, inklusive överföring till arkiv och förvaring, i enlighet med lagringskrav möjliggörs.

Lagring och disposition av register

Företagets personal måste föra register inom ett programområde så länge det är nödvändigt för att uppfylla legitima affärsmässiga eller juridiska syften, och beakta tillämpliga lagkrav och förordningar, samt villkoren i avtal med företaget eller mellan företaget, dess partners och kunder.

Verksamhetsägare måste säkerställa att registren i deras programområde hanteras, lagras och kasseras i enlighet med kraven i det tillämpliga lagringsschemat för register (”schema”).

Lagringskraven för register, som anges i det tillämpliga schemat, fastställs tillsammans med ämnesexperter inom varje programområde baserat på:

verksamhetens behov;
juridiska krav specifika för registret;
avtalsmässiga förpliktelser;
behovet av att säkerställa ansvarighet för aktiviteter och beslut som dokumenteras av registret;
rättigheten och intresset för andra intressenter att förhindra lagring av registrets innehåll.

juridiska förfaranden;
åtkomstförfrågningar som görs i enlighet med tillämpliga lagkrav, samt villkoren i andra avtal med företaget eller mellan företaget, dess partners och kunder.

När en förfrågan tas emot enligt ovan måste företagets personal bevara och producera alla relevanta register och följa kraven som anges i sektionen ”juridiska lagringsskäl” i denna policy.

Lagring av e-postmeddelanden

Register som skapas, skickas eller tas emot via e-postkonton, inklusive själva e-postmeddelandet, omfattas av denna policy.

Innan ett e-postkonto inaktiveras eller raderas ska de register som skapats, skickats eller tagits emot av e-postkontot hanteras i enlighet med kraven ovan.

Dessa typer av register får inte lagras på en enskild dators hårddisk, portabla enheter eller media som kan kopplas bort, på en enskild persons nätverkshårddisk eller elektroniska arbetsyta, i e-postkonton, eller gällande fysiska register, i en enskild persons fysiska arkivskåp.

Arkivering och lagring av register

Fysiska kopior av register som inte längre kräver omedelbar åtkomst som ett aktivt register, men som fortfarande måste sparas under återstoden av deras tilldelade lagringsperiod, ska arkiveras. Företagets personal ska kontakta avdelningen för företagstjänster eller det regionala ledningskontoret för att komma överens om arkivering av register på en lagringsanläggning utanför företaget som godkänts av företaget. När man kommer överens om lagring utanför företaget ska företagets personal identifiera ett kasseringsdatum för registret.

Juridiska lagringsskäl

Register relaterade till väntande eller förväntade juridiska förfaranden, revisioner eller utredningar måste bevaras. Ett ”juridiskt lagringsskäl” kan åläggas ett register oavsett om registret är den slutgiltiga, officiella versionen av registret eller inte. Företagets personal som får ett meddelande från juridik-, risk- och integritetsavdelningen, eller via andra källor, om att vissa register omfattas av juridiska lagringsskäl, ska omedelbart säkerställa att alla register som omfattas av det juridiska lagringsskälet är säkrade och sparade enligt beskrivningen i meddelandet om juridiska lagringsskäl. Om företagets personal blir medveten om väntande eller förväntade juridiska förfaranden, revisioner eller utredningar, eller stämning, ska de säkra och spara alla register som kan vara relevanta, samt meddelande juridik-, risk- och integritetsavdelningen.

Under inga omständigheter ska företagets personal ändra, förstöra eller dölja register relaterade till ett väntande eller förväntat juridiskt förfarande, revision eller utredning. Alla sådana åtgärder kan ha en materiellt negativ inverkan på det juridiska förfarandet, revisionen eller utredningen. Obehörig ändring, kassering eller döljande av register kan leda till disciplinära åtgärder för företagets personal, upp till och inklusive uppsägning, samt juridiskt ansvar.

Årliga granskningar av register

Företagets personal måste granska alla företagsregister, inklusive e-postmeddelanden, i deras ägor, regelbundet och minst en gång om året. Vid utförandet av detta ska företagets personal identifiera register som kan kasseras som har passerat sin tilldelade lagringsperiod, men spara de som omfattas av juridiska lagringsskäl eller som ingår i utredning eller revision.

Kassering av register

registrets syfte har uppfyllts;
den tillämpliga lagringsperioden har löpt ut;
företagets personal som hanterar registret har fått en skriftlig bekräftelse på att sådana register inte omfattas av juridiska lagringsskäl.

Frågor och efterlevnad

Alla frågor om kvarhållande av register som inte tas upp i denna policy ska hänvisas till juridik-, risk- och integritetsavdelningen, som kommer att bistå med vägledning tillsammans med ämnesexperter inom det programområde som registret är relaterat till.

Alla frågor om arkivering och kassering av fysiska register (alltså papper) ska hänvisas till avdelningen för företagstjänster eller det regionala ledningskontoret.

Denna policy kommer att granskas periodvis och ändras vid behov av juridik-, risk- och integritetsavdelningen för att återspegla ändringar i lagar, förordningar eller affärskrav.