EU:n yleisen tietosuoja-asetuksen (GDPR) vaikutusten arviointi alueellisesti

Transkriptio

1 EU:n yleisen tietosuoja-asetuksen (GDPR) vaikutusten arviointi alueellisesti Sosiaali- ja terveydenhuollon atk-päivät Jaana Riikonen, tietosuojavastaava Tampereen yliopistollinen sairaala Pirkanmaan sairaanhoitopiiri

2 Kuka olen? Jaana Riikonen Koulutus: sairaanhoitaja, datanomi, terveystieteiden maisteri Anestesiahoitaja ( ), suunnittelija ( ), tietosuojavastaava ( ) Tietosuojavastaavan tehtävät vuodesta 2011 alkaen Tays Sydänsairaala PSHP Täysipäiväinen tietosuojavastaava vuodesta 2016 Tehtävänimike tietosuojavastaava 5/2018 Sijoitus PSHP:n tietohallinto, esimies tietohallintopäällikkö Sivutoiminen tietokirjailija

3 Pirkanmaan sairaanhoitopiiri 23 jäsenkuntaa Akaa Hämeenkyrö Ikaalinen Juupajoki Jämsä Kangasala Kihniö Kuhmoinen Lempäälä Mänttä-Vilppula Nokia Orivesi Parkano Pirkkala Pälkäne Ruovesi Sastamala Tampere Urjala Valkeakoski Vesilahti Virrat Ylöjärvi Tays:in viisi toimipistettä: Tays Keskussairaala Tays Hatanpää Tays Pitkäniemi Tays Valkeakoski Tays Sastamala Yhteensä

4 Sairaanhoitopiirin erityisvastuualue Erityisvastuualueeseen kuuluvat Pirkanmaan sairaanhoitopiiri Etelä-Pohjanmaan sairaanhoitopiiri Kanta-Hämeen sairaanhoitopiiri Asukkaita em. sairaanhoitopiirien alueilla asuu yhteensä henkilöä ja alueeseen kuuluu 52 kuntaa

5 Organisaatiokaavio 2019

6 Tunnuslukuja Vuosittain hoidettuja potilaita Sairaanhoitopiirissä noin eri potilasta Vuodeosastoilla noin potilasta Poliklinikoilla noin potilasta Noin työntekijää 64 % hoitohenkilöstöä 14 % lääkärihenkilöstöä 13 % huoltohenkilöstöä 5 % hallinto- ja toimistohenkilöstö 4 % erityishenkilöstö

7 Lainsäädännön muutokset EU:n yleinen tietosuoja-asetus (2016/679) Soveltaminen alkoi Tietosuojalaki (1050/2018) Voimaan Laki sosiaali- ja terveystietojen toissijaisesta käytöstä Voimaan Tiedonhallintalaki Hyväksytty eduskunnassa , vahvistettu? Suunniteltu voimaantulo Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä Käsittely raukesi eduskunnassa 4/2019

8 Rekisteröidyn oikeudet Oikeus tietojen poistamiseen Oikeus käsittelyn rajoittamiseen Oikeus tietojen oikaisemiseen Oikeus siirtää tiedot järjestelmästä toiseen Oikeus saada pääsy tietoihin Rekisteröidyn oikeudet Vastustamisoikeus Saada rekisterinpitäjältä läpinäkyvä informointi henkilötietojen käsittelystä

9 Rekisterinpitäjän velvollisuudet Arviointi ja kehittämi nen Käsittelyn oikeusperusta Vastuut ja raportointi Koulutus ja tietoisuus Riskienhallinta Mittaaminen ja seuranta OSOITUS- VELVOLLISUUS Rek. oik. toteuttaminen Tietoturva ja valvonta Sisäänrakennettu tietosuoja Politiikat ja muu dokumentointi Sopimukset ja alihankk. hallinta Tietosuojavastaava Tietosuoja yhteistyöhanke 2017

10 Osoitusvelvollisuus Uudenlainen asennoituminen henkilötietojen käsittelyyn sekä oman toiminnan tarkastelu uusien vaatimusten valossa Rekisterinpitäjän vastuun lisääminen Tietosuojan tuominen teoriasta käytäntöön Osoitusvelvollisuus muodostunut tietosuojavaatimukseksi Dokumentointivelvoite Edellytetään tarkastelemaan oman toiminnan vaatimustenmukaisuutta

11 Osoitusvelvollisuus Ovatko lukuisat velvoitteet muodostuneet lähinnä hallinnolliseksi taakaksi? VAI Onko dokumenttien laatiminen lisännyt tosiasiassa rekisterinpitäjän ymmärrystä oman toimintansa luonteesta ja vaatimustenmukaisuudesta?

12 Riskienhallinta Riskilähtöinen ajattelutapa Vaatimus laatia tietosuojan vaikutustenarviointi korkean riskin käsittelylle Yhteiset riskienhallintahankkeet

13 Ilmoittaminen tietoturvaloukkauksesta Ilmoitusvelvollisuus henkilötietojen tietoturvaloukkauksesta Dokumentointivelvollisuus: Loukkauksiin liittyvät seikat Loukkausten vaikutukset Toteutetut korjaavat toimenpiteet

14 Tietosuojavastaavan tehtävien muutokset Seuranta ja valvonta tehtävä (asiakastietolaki 20 ) GDPR:n mukaiset tehtävät Neuvonta tietosuojavaatimuksiin liittyen Tietosuojalainsäädännön noudattamisen seuranta ja tähän liittyvät tarkastukset Tietosuojatietoisuuden lisääminen Henkilöstön kouluttaminen Neuvoo ja valvoo tietosuojan vaikutustenarviointien laatimisessa Toimii yhteyspisteenä valvontaviranomaisille Tietosuojavastaava osoitusvelvollisuuden kulmakivi

15 Vaikutukset Sopimusten täydentäminen tietosuojasopimuksella/- liitteellä Tietotilinpäätösten laadinta Vauhdittanut digitointihankkeita Vauhdittanut auditointeja Turvatulostuksen yleistyminen Sisäisen tarkastuksen kohteena GDPR:n toteuttaminen

16 Kustannusvaikutukset GDPR projektit Budjetointi Resurssointi Tietosuoja- ja tietoturvatarkastukset Sisäänrakennettu tietosuoja Haasteena voi olla vaatimustenmukaisuus Muuttuva informaatioympäristön ja teknologian kehitys tietosuojalainsäädännön vaatimukset täyttävä toiminta on riittämätöntä tai muuttuu riittämättömäksi

17 Yhteistyö Kaupunkien/kuntien välillä Sairaanhoitopiirien välillä Alueelliset tietosuojavastaavat

18 Yhteistyö Kuntien tietosuojavastaavien verkosto Toiminnasta vastaa Kuntaliiton lakiyksikkö Tavoitteena mahdollistaa tietosuojavastaavien tehokas työskentely ja materiaalien, mallien, työtapojen ja parhaiden käytäntöjen jakaminen Tietosuojavaltuutetun toimisto Tietosuojavastaavien rekisteri tietosuojavastaavien ohjaus? Valtion hankkeet JUHTA VAHTI: tietosuojan yhteistyöhanke JUDO hanke (digitaalisen turvallisuuden kehittäminen julkisen hallinnon organisaatioissa)

19 Kiitos!