Tietosuojan käytännesäännöt sosiaali- ja terveydenhuoltoon?

Transkriptio

1 Tietosuojan käytännesäännöt sosiaali- ja terveydenhuoltoon? Korkeakoulujen käytännesääntötyö SOTE tietosuojaseminaari, , Finlandia-talo Helena Eronen, tietosuojavastaava, UEF UEF // University of Eastern Finland

2 2 UEF // University of Eastern Finland

3 GDPR ja tietosuojalaki Käytännesäännöt UEF // University of Eastern Finland

4 GDPR: Art. 40 Käytännesäännöt Jäsenvaltioiden, valvontaviranomaisten, tietosuojaneuvoston ja komission on edistettävä sellaisten käytännesääntöjen laatimista, joiden avulla tuetaan tämän asetuksen asianmukaista soveltamista, ottaen huomioon käsittelyn eri sektorien erityispiirteet ja mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet Resitaali 98: Kannustettava laatimaan käytännesääntöjä, jotta Asetuksen soveltamista voidaan helpottaa Rekisterinpitäjien ja henkilötietojen käsittelijöiden velvoitteita voidaan sopeuttaa ottaen huomioon yksityisyyden suojaan kohdistuva tietojenkäsittelyn riski UEF // University of Eastern Finland

5 GDPR: Käytännesäännöt Käytännesääntöjä voi laatia mm. seuraavista: käsittelyn asianmukaisuus ja läpinäkyvyys rekisterinpitäjän oikeutetut edut tietyissä yhteyksissä henkilötietojen kerääminen henkilötietojen pseudonymisointi yleisölle ja rekisteröidyille tarkoitettu tiedotus rekisteröidyn oikeuksien käyttäminen lapsille tarkoitettu tiedotus ja lasten suojelu sekä suostumus tietojenkäsittelyn turvallisuuden varmistaminen tietoturvaloukkauksista ilmoittaminen henkilötietojen siirto kolmansiin maihin tai kansainvälisille järjestöille; tuomioistuinten ulkopuoliset ja muut riidanratkaisumenettelyt UEF // University of Eastern Finland

6 GDPR: Käytännesäännöt Käytännesääntöjen luonnos, muutos tai laajennus toimitetaan valvontaviranomaiselle. Valvontaviranomainen antaa lausunnon siitä, onko käytännesääntöjen luonnos tai muutos tai laajennus asetuksen mukainen, ja hyväksyy tämän käytännesääntöjen luonnoksen, muutoksen tai laajennuksen, jos se katsoo sen tarjoavan riittävät asianmukaiset takeet. Valvontaviranomainen rekisteröi ja julkaisee käytännesäännöt, jos käytännesääntöjen luonnos, muutos tai laajennus on tietosuoja-asetuksen mukainen ja käytännesäännöt eivät liity käsittelytoimiin useissa eri jäsenvaltioissa. Jos käytännesääntöjen luonnos liittyy käsittelytoimiin useissa eri jäsenvaltioissa, valvontaviranomainen toimittaa sen ennen hyväksymistä tietosuojaneuvostolle, joka antaa siitä lausunnon, jonka toimittaa komissiolle. UEF // University of Eastern Finland

7 GDPR: Käytännesäännöt Komissio voi antaa täytäntöönpanosta säädöksiä, joissa se toteaa, että sille esitetyt hyväksytyt käytännesäännöt, muutokset tai laajennukset ovat yleisesti päteviä unionissa. Komissio huolehtii hyväksyttyjen unionin tasoisten käytännesääntöjen asianmukaisesta julkaisemisesta. Tietosuojaneuvosto kokoaa kaikki hyväksytyt käytännesäännöt, muutokset ja laajennukset ja asettaa ne julkisesti saataville. UEF // University of Eastern Finland

8 Tietosuojalaki, Hallintovaliokunnan mietintö HaVM 13/2018 vp HE 9/2018 vp Tarvitaan selkeä sääntely ja soveltamista helpottamaan tulee olla tarjolla ymmärrettävää ohjeistusta ja neuvontaa. Sääntelyä voidaan selkeyttää myös tietosuoja-asetuksen mukaisilla käytännesäännöillä. Käytännesäännöt on mahdollista laatia siten, että kulloinkin kyseessä olevan toimialan erityistarpeet tulevat asianmukaisesti huomioiduiksi. UEF // University of Eastern Finland

9 Tietosuojalaki 31: Tieteellisiä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten tapahtuvaa henkilötietojen käsittelyä koskevat poikkeukset ja suojatoimet Käsiteltäessä henkilötietoja tieteellistä tai historiallista tutkimustarkoitusta varten voidaan tietosuoja-asetuksen 15, 16, 18 ja 21 artiklassa säädetyistä rekisteröidyn oikeuksista tarvittaessa poiketa edellyttäen, että: 1. käsittely perustuu asianmukaiseen tutkimussuunnitelmaan; 2. tutkimuksella on vastuuhenkilö tai siitä vastaava ryhmä; ja 3. henkilötietoja käytetään ja luovutetaan vain historiallista tai tieteellistä tutkimusta taikka muuta yhteensopivaa tarkoitusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille. Käsiteltäessä erityisiä henkilötietoryhmiä koskevia henkilötietoja poikkeaminen rekisteröidyn oikeuksista edellyttää lisäksi, että laaditaan tietosuojaa koskeva vaikutustenarviointi tai noudatetaan tietosuoja-asetuksen 40 artiklan mukaisia käytännesääntöjä, joissa on otettu asianmukaisesti huomioon edellä tarkoitettu rekisteröidyn oikeuksista poikkeaminen. Vaikutustenarviointi tulee toimittaa kirjallisesti tiedoksi tietosuojavaltuutetulle ennen käsittelyyn ryhtymistä. UEF // University of Eastern Finland

10 Korkeakoulujen tietosuojayhteistyö UEF // University of Eastern Finland Esityksen nimi / Tekijä

11 Korkeakoulujen tietosuojavastaavien verkosto Mukana kaikkien korkeakoulujen tietosuojavastaavat Verkoston vahvuutena eri taustaiset tietosuojavastaavat Työskentelyalustana Vaatii kirjautumisen Sähköpostilista: aktiivista keskustelua ja ajatusten vaihtoa, vertaistukea Ollut tärkeässä roolissa, koska esim. kansallinen tietosuojalaki viivästynyt. Käytännön haasteena erityisesti keväällä oli yhteistyön organisointi, koska kaikilla kova kiire. UEF // University of Eastern Finland

12 Korkeakoulujen tietosuojavastaavien verkosto Koko verkoston seminaarit , , , , Seuraava seminaari suunnitteilla keväälle yhdessä SEC-ryhmän (korkeakoulujen tietoturvapäälliköt) kanssa Pienemmillä ryhmillä materiaalien valmistelua Tietotilinpäätöksen työpaja CSC:llä Työvaliokunta (6 henkilöä) organisoi verkoston työtä, kokoontunut 2-3 viikon välein. Työvaliokunnassa edustettuna Hämeenlinnan amk, Kajaanin amk, Tampereen amk, Aalto yliopisto, Itä-Suomen yliopisto ja Taideylipisto, pj. Kari Kataja (HAMK) UEF // University of Eastern Finland

13 Korkeakoulujen tietosuojavastaavien verkosto Jaettu dokumenttipohjia, ohjeita, linjauksia yms. Tietosuojailmoituksien pohjat (rekisteröidyn informointi) Mobiiliturvaohje Vaikutustenarvioinnit Tietosuojaprosesseja (erityisesti 72h ilmoitusvelvollisuus) Käsittelyperusteita mietitty yhdessä Suositus osallistua TAISTO18 harjoitukseen Paljon keskusteltu rekisterinpitäjyydestä esim. tutkimuksessa ja opinnäytetöissä Yhdenmukaistamista tehdään käytännesäännöillä (tutkimus, opintotiedot) UEF // University of Eastern Finland

14 Korkeakoulujen tietosuojan käytännesääntötyö Aloitettu tietosuojan käytännesääntöjen laatiminen jo vuonna 2012 lopputuloksena Korkeakoulujen opintotietojen tietosuojan käytännesäännöt (päivitettävänä) Tutkimuksen tietosuojan käytännesääntöjen valmistelu aloitettu syyskuussa 2017 UEF // University of Eastern Finland

15 Opintotietojen tietosuojan käytännesäännöt UEF // University of Eastern Finland

16 Opintotietojen tietosuojan käytännesäännöt 1 Aloite RAKETTI-Opi hankkeessa Kesällä 2012 OHA-foruumi (yliopistojen opintohallinnon päälliköiden verkosto, päätti, että Laura Karppinen(HY) ja Anna Johansson(Aalto) laativat ehdotuksen korkeakoulujen käytännesäännöiksi opiskelijoiden henkilötietojen käsittelyyn. Tavoitteena käyttökelpoiset toimintasuositukset korkeakouluille tyypillisiin tilanteisiin, joissa käsitellään hakijoiden tai opiskelijoiden henkilötietoja Opintoasioiden tietosuojaryhmä, OTTO, seurannut valmistumista ja kommentoinut sisältöä Tietosuojavaltuutettu tarkastanut lainmukaisuuden Suositus, eivät sido korkeakouluja UEF // University of Eastern Finland

17 Käytännesääntöjen päivittäminen Käytännesääntöjen päivittäminen GDPR:n mukaisiksi Työ on alkanut. Muistiot tulevat eduuniin (kirjautumisen takana Työryhmässä edustajat: Lapin amk, Oulun amk, Aalto yliopisto, Helsingin yliopisto ja OKM, pj. Ulla Virranniemi, Oulun amk, sihteeriys kiertää Kohderyhmä opintohallinto, opettajat ja opiskelijat, tavoitteena selkeät ohjeet arjen työhön Huomioitava mm.: GDPR, julkisuuslaki, tietosuojalaki, KOSKI-laki, arkistolaki, hallintolaki ja sähköinen asiointilaki; seurataan tiedonhallintalain valmistelua; tyylissä pyritään käytännönläheisyyteen mm. esimerkkien avulla UEF // University of Eastern Finland

18 UEF // University of Eastern Finland Esityksen nimi / Tekijä

19 Korkeakoulujen tutkimuksen tietosuojan käytännesäännöt UEF // University of Eastern Finland Esityksen nimi / Tekijä

20 Taustaa Korkeakoulujen opintotietojen tietosuojan käytännesäännöt valmistuivat 5/2017 Tietosuojavaltuutettu otti opintotietojen käytännesäännöissä kantaa myös tutkimuskysymyksiin Todettiin korkeakoulujen tietosuojavastaavien kesken, että tarvitaan myös tieteellisen tutkimuksen osalta tietosuojan käytännesäännöt Perustettiin oma-aloitteisesti työryhmä laatimaan Korkeakoulujen tutkimustoiminnan tietosuojan käytännesääntöjä Alun perin mukana: Aalto-yliopisto, Helsingin yliopisto, Jyväskylän yliopisto, Itä-Suomen yliopisto ja CSC UEF // University of Eastern Finland

21 Käytännesääntötyö nyt Alkuperäiseen verrattuna organisaatioiden määrä tuplaantunut - Yliopistoista mukana nyt Aalto, Helsinki, Jyväskylä, Lappeenranta, Lappi, Oulu, Tampere, Turku ja UEF - Ammattikorkeakouluista Turun AMK ja Hämeen AMK. - HUS ja PSSHP - THL ja VTT Esillä korkeakoulujen tietosuojavastaavien tapaamisissa Käytännesäännöt koskevat Suomessa tehtävää tutkimusta Tarkoituksena on myös seurata muualla Euroopassa tapahtuvaa käytännesääntötyötä ja jos eurooppalaisten tutkimuksen tietosuojan käytännesääntöjen valmistelutyö käynnistyy, mahdollisesti osallistua siihen UEF // University of Eastern Finland

22 Käytännesääntöjen alkuperäinen sisältö o Keskeiset käsitteet o Henkilötietojen käsittelyn edellytykset o Roolit ja vastuut o Tietosuojaa koskeva vaikutustenarvio o Informointivelvollisuus ja rekisteröidyn oikeudet o Henkilötietojen siirto ja luovutus o Tutkimusetiikka o Tietoturva o Julkisuus ja tietosuoja UEF // University of Eastern Finland

23 Käytännön työ tähän asti Tapaamiset n. kerran kuussa etäkokouksina tai paikan päällä, varattu aikaa myös kirjoitustyöhön Kaikki ovat edelleen tervetulleita käytännesääntötyöhön Tavoitteena on luoda selkeät ohjeet henkilötietojen käsittelystä tieteellisessä tutkimuksessa Kohderyhmänä tutkijat Pyritään lisäämään paljon käytännön esimerkkejä UEF // University of Eastern Finland

24 Pohdintaa aiheuttaneet Rekisterinpitäjyys Tutkija/tutkimusryhmä? Korkeakoulu? Yhteisrekisterinpitäjyys? Vanhojen aineistojen käsittelyperuste, jos pyydetty suostumus ei vastaa GDPR:n vaatimuksia Näytteiden luovuttaminen EU:n ulkopuolisiin biopankkeihin esim. NIH USA ja tutkimusyhteistyö EU:n ulkopuolisten maiden kanssa UEF // University of Eastern Finland

25 Miten edetään? Vuoden 2019 alkupuolella on odotettavissa Euroopan tasoiset ohjeet käytännesääntöjen sisällöstä ja sitä kautta saattaa tulla toimintaohjeita myös valvontaviranomaiselle odotetaan näitä ohjeita Korkeakoulujen tutkimuksen tietosuojan käytännesääntötyöryhmä on järjestäytynyt: pj Tuomas Tähtinen ja sihteeri Helena Eronen Tehdään yhteistyötä korkeakoulujen tietosuojavastaavien verkoston, TENKin (Tutkimuseettinen neuvottelukunta) ja TUKIJAn (Valtakunnallinen lääketieteellinen tutkimuseettinen neuvottelukunta) kanssa Tietosuojavaltuutetun toimiston johdolla aloitetaan tutkimuksen tietosuojan sidosryhmäyhteistyö, jossa seurataan käytännesääntötyön etenemistä ja kommentoidaan käytännesääntöjen sisältöä UEF // University of Eastern Finland

26 Tutkimuksen tietosuojaryhmä, TUTTI Tietosuojavaltuutetun toimiston johtama sidosryhmäyhteistyö mm. Terveydenhuollon tietosuojaryhmä, TELLU Tietosuojavaltuutetun Sosiaalihuollon tietosuojaryhmä, toimiston johtama SOHVIsidosryhmäyhteistyö Terveydenhuollon tietosuojaryhmä, TELLU Opintoasioiden tietosuojaryhmä, OTTO Sosiaalihuollon tietosuojaryhmä, SOHVI Taustalla Opintoasioiden tutkimuksen tietosuojaryhmä, tietosuojan OTTO käytännesääntötyö, jonka edetessä Tieteellisen havaittu tarve tutkimuksen laajaan yhteistyöhön tietosuojan käytännesääntötyö korkeakoulujen, tutkimuslaitosten ja tietosuojavaltuutetun Aloitettu 9/2017 toimiston kesken Tutkimuksen Tutkimuksen tietosuojaryhmä, tietosuojaryhmä, TUTTI, TUTTI, perustettu perustettu Toimii tietosuojavaltuutetun toimiston johdolla Tietosuojavaltuutetun Toimii tietosuojavaltuutetun toimiston, toimiston korkeakoulujen johdolla ja tutkimuslaitosten edustajat Tutkimuksen Tietosuojavaltuutetun tietosuojaan toimiston, liittyvät korkeakoulujen, ajankohtaiset asiat, yo-sairaaloiden käytännesääntötyön ja seuraaminen tutkimuslaitosten ja kommentointi edustajat Tutkimuksen tietosuojaan liittyvät ajankohtaiset asiat, käytännesääntötyön seuraaminen ja kommentointi UEF // University of Eastern Finland

27 SOTE sektorilla on jo mm: Tietosuoja-asetus ja tuleva tietosuojalaki Laki potilaan asemasta ja oikeuksista Asiakastietolaki, reseptilaki Laki terveydenhuollon ammattihenkilöistä Terveydenhuoltolaki Sosiaalihuoltolaki Sosiaalihuollon asiakasasiakirjalaki Asetus potilasasiakirjoista STM:n ohje potilasasiakirjoista THL:n ja Kelan Kanta-palveluihin liittyvät käsikirjat, ohjeet, verkkokoulut Tulossa: sote-uudistus, asiakastietolain uudistus, toissijaisen käytön laki UEF // University of Eastern Finland

28 Tietosuojan käytännesäännöt SOTE-sektorille? Vaikka lainsäädäntöä, ohjeistusta ja malleja on paljon, niin sen pohjalta palveluntuottajat laatineet omat ohjeensa Periaatteessa samanlaiset kaikissa, mutta eroja käytänteissä voi silti olla ja asiakas voi saada erilaista palvelua saman asian tiimoilta eri organisaatioissa esim. asiakaslähtöisessä käytönvalvonnassa erilaiset käytännöt siitä luovutetaanko tulosteita asiakkaalle vai ei Voisiko ajatella, että laadittaisiin yhteiset tietosuojan käytännesäännöt myös sote-organisaatioille? Käytännesääntö + tarkempi ohjeistus? Käytännesäännön taso kaikilla sote-organisaatioilla sama Tarkemmassa ohjeistuksessa voitaisiin huomioida organisaatioiden erityispiirteet tarvittaessa pohja kuitenkin sama kaikille? UEF // University of Eastern Finland

29 Tietosuojan käytännesäännöt SOTE-sektorille? Käytännesääntötyön organisointi korkeakoulujen tapaan? Käytännesääntöjä valmisteleva ryhmä, joka valmistelee luonnoksen Riittävän laaja edustus sote-sektorilta, ei kuitenkaan paisuteta ryhmää liian laajaksi TELLU/SOHVI ryhmät seuraavat valmistelua ja antavat kommentteja valmiista osioista Laaja kommentointikierros luonnoksen valmistuttua Valvontaviranomaisen hyväksyntä ja julkaisu GDPR:n mukaisesti Käyttöön sote-organisaatioissa UEF // University of Eastern Finland

30 Kiitos! Keep calm, don t panic and wait for further instructions UEF // University of Eastern Finland