Tietosuojakysely 2018

Transkriptio

1 Tietosuojakysely /2018 Kela Tietosuojavaltuutetun toimisto Terveyden ja hyvinvoinnin laitos

2 Sisällys Taustatiedot 1 Vastaajatiedot 1 Tulokset 1 Yleistä 1 Tietosuojavastaavat 2 Apteekkarin tai organisaation vastaavan johtajan antamat kirjalliset ohjeet henkilökunnalle, ohjeiden jalkauttaminen ja henkilökunnan koulutus tietosuojaasioissa 9 Reseptikeskuksen tietojen käsittelyn seuranta ja valvonta 18 Omavalvontasuunnitelma 29 Miten suhtaudutte tietosuojaan organisaatiossanne? 31

3 Taustatiedot Vastaajatiedot Vastanneiden määrä: 113 Vastausprosentti: 64 % Tulokset Yleistä 1. Organisaationne on (avoin kysymys) 2.Organisaation nimi (avoin kysymys) 3.Organisaation OID-tunnus (avoin kysymys) 4.Vastaajan nimi, asema organisaatiossa ja yhteystiedot (puhelinnumero ja sähköpostiosoite) (avoin kysymys) 1

4 5. Organisaationne koko henkilökunnan määrän mukaan Tietosuojavastaavat 6. Mihin henkilöstöryhmään tietosuojavastaavanne kuuluu? Valitse tietosuojavastaavan asemaa organisaatiossanne parhaiten kuvaava vaihtoehto. 2

5 7. Mihin seuraavista asioista tietosuojavastaavanne on perehtynyt? 8. Käsitelläänkö tietosuoja- ja tietoturva-asioita organisaatiossanne tietosuoja- tai muussa vastaavassa ryhmässä? 3

6 9. Jos tietosuoja- ja tietoturva-asioita käsitellään tietosuoja- tai muussa vastaavassa ryhmässä organisaatiossanne, onko potilasasiamies tai sosiaaliasiamies ryhmän jäsen? (Kysymys on osoitettu sosiaali- ja terveydenhuollon edustajille. Apteekin edustajat voivat siirtyä seuraavaan kysymykseen.) 10. Onko tietosuojavastaavan tehtävät määritelty selkeästi organisaatiossanne? 4

7 11. Onko apteekkari tai organisaation johto antanut tietosuojavastaavan tehtävistä kirjallisen tehtävien kuvauksen? 12. Onko edellä mainittu tietosuojavastaavan kirjallinen tehtävien kuvaus annettu henkilökunnalle tiedoksi tai hänen tehtävistään muutoin tiedotettu? 5

8 13. Mitä tietosuojavastaavan tehtäviin kuuluu organisaatiossanne? 6

9 14. Hoitaako tietosuojavastaavanne tehtäväänsä päätoimisesti? 15. Kuinka paljon työajasta tietosuojavastaava voi käyttää tietosuojavastaavan tehtävän hoitamiseen? 7

10 16. Onko tietosuojavastaavalla riittävästi aikaa hoitaa tietosuojavastaavan tehtävää? 17. Onko tietosuojavastaavalle määrätty varahenkilö? Havainnot 18. Minkälaista ohjausta toivoisitte tietosuojavastaavan tehtävien ja toimenkuvan selkeyttämiseksi ja miten niitä voitaisiin kehittää? (avoin kysymys) 8

11 Apteekkarin tai organisaation vastaavan johtajan antamat kirjalliset ohjeet henkilökunnalle, ohjeiden jalkauttaminen ja henkilökunnan koulutus tietosuoja-asioissa 19. Onko apteekkari tai organisaation vastaava johtaja tai heidän nimeämänsä taho laatinut henkilökunnalle kattavat kirjalliset ohjeet asiakas- ja potilastietojen käsittelystä eri toimintaprosesseissa? 9

12 20. Onko apteekkari tai organisaation vastaava johtaja tai heidän nimeämänsä taho järjestänyt henkilökunnalle koulutuksen, jolla varmistetaan henkilökunnan toiminta edellä mainittujen kattavien kirjallisten ohjeiden mukaisesti? 21. Mitä aihepiirejä apteekkarin tai organisaation vastaavan johtajan tai heidän nimeämänsä tahon laatimat kirjalliset ohjeet koskevat? 2018 henkilötietolaki 79,6 % laki potilaan asemasta ja oikeuksista 82,3 % laki sähköisestä lääkemääräyksestä 76,1 % laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä 82,3 % henkilötietojen säilytysajat 63,7 % teknologia ja tietotekniset menettelyt 48,7 % varmennekorttien ja salasanojen huolellinen käsittely 82,3 % resepti- tai potilastietojen käytön seurannan ja valvonnan toteuttaminen 70,8 % lokitietojen käsittely 77,9 % asiakkaan tai potilaan oikeudet lokitietoihin 83,2 % asiakkaan tai potilaan oikeus saada rekisterinpitäjän selvitys tietojensa väärinkäyttöepäilystään 78,8 % tietojen muu suojaaminen 59,3 % vaitiolovelvollisuus 85,0 % asiakirjasalaisuus 73,5 % 10

13 henkilö-, asiakas- tai potilastietojen tarpeellisuusvaatimus 69,0 % henkilö-, asiakas- tai potilastietojen virheettömyysvaatimus 74,3 % tarpeettomien tietojen hävittäminen 65,5 % huolellisuusvelvoite 68,1 % rekisteröidyn tai asiakkaan informointi henkilötietojen käsittelystä 79,6 % rekisteröidyn tarkastusoikeus 81,4 % tiedon korjaaminen 80,5 % rekisteri- ja tietosuojaseloste 80,5 % asiakkaan tai potilaan suostumus häntä koskevien lääkitysja/tai potilastietojen luovuttamiseen 81,4 % salassapito- ja käyttäjäsitoumusten edellyttäminen työntekijöiltä 85,0 % Reseptikeskukseen liittyvistä väärinkäytöksistä ilmoittaminen Kelalle 50,4 % työoikeudelliset toimenpiteet lainvastaisesta henkilötietojen käsittelystä 75,2 % rikosoikeudelliset seuraamukset lainvastaisesta henkilötietojen käsittelystä 70,8 % vahingonkorvausvastuu lainvastaisesta henkilötietojen käsittelystä 54,9 % henkilökunnan oikeusturva 54,0 % tietosuojavastaavan toimenkuva, tehtävät ja asema organisaatiossanne 59,3 % apteekkarin tai organisaation vastaavan johtajan velvoitteet ja vastuu tietosuojan toteutumisessa organisaatiossanne 46,0 % ohjeena on työntekijöiltä otettava salassapito- ja käyttäjäsitoumus 68,1 % apteekkarin tai organisaation vastaavan johtajan kirjallisia ohjeita ei ole annettu 8,0 % 11

14 22. Onko henkilökuntaa ohjeistettu kattavasti ja kirjallisesti siitä, kenellä on oikeus käsitellä ja katsoa sähköisiä reseptitietoja ja milloin katselu on laitonta? 23. Oletteko vaatineet työntekijöiltänne kirjallisen salassapito- ja käyttäjäsitoumuksen? 12

15 24. Onko organisaatiossanne huolehdittu henkilökunnan riittävän laajasta tietosuoja- ja tietoturva-asioiden osaamisesta? 25. Kuinka suuri osa henkilökunnastanne on saanut koulutusta apteekkarin tai organisaation vastaavan johtajan laatimista kirjallisista tietosuoja- ja tietoturvaohjeista vuonna 2017? 13

16 26. Mitä aihepiirejä henkilökunnan koulutuksissa on käsitelty vuonna 2017? 2018 henkilötietolaki 44,2 % EU:n tietosuoja-asetus 50,4 % laki potilaan asemasta ja oikeuksista 49,6 % laki sähköisestä lääkemääräyksestä 37,2 % henkilötietojen säilytysajat 30,1 % varmennekorttien ja salasanojen huolellinen käsittely 54,0 % resepti- ja/tai potilastietojen käytön seurannan ja valvonnan toteuttaminen 47,8 % lokitietojen käsittely 49,6 % asiakkaan tai potilaan oikeudet lokitietoihin 52,2 % asiakkaan tai potilaan oikeus saada rekisterinpitäjän selvitys tietojensa väärinkäyttöepäilystään 44,2 % tietojen muu suojaaminen 39,8 % vaitiolovelvollisuus 59,3 % asiakirjasalaisuus 46,0 % henkilö-, asiakas- tai potilastietojen tarpeellisuusvaatimus 43,4 % henkilö-, asiakas- tai potilastietojen virheettömyysvaatimus 45,1 % tarpeettomien tietojen hävittäminen 39,8 % huolellisuusvelvoite 52,2 % rekisteröidyn tai asiakkaan informointi henkilötietojen käsittelystä 46,0 % rekisteröidyn tarkastusoikeus 48,7 % tiedon korjaaminen 46,0 % rekisteri- ja tietosuojaseloste 43,4 % asiakkaan tai potilaan suostumus häntä koskevien lääkitysja/tai potilastietojen luovuttamiseen 51,3 % salassapito- ja käyttäjäsitoumusten edellyttäminen työntekijöiltä 52,2 % Reseptikeskukseen liittyvistä väärinkäytöksistä ilmoittaminen Kelalle 23,0 % työoikeudelliset toimenpiteet lainvastaisesta henkilötietojen käsittelystä 37,2 % rikosoikeudelliset seuraamukset lainvastaisesta henkilötietojen käsittelystä 36,3 % vahingonkorvausvastuu lainvastaisesta henkilötietojen käsittelystä 33,6 % henkilökunnan oikeusturva 36,3 % 14

17 tietosuojavastaavan toimenkuva, tehtävät ja asema organisaatiossanne 34,5 % apteekkarin tai organisaation vastaavan johtajan velvoitteet ja vastuu tietosuojan toteutumisessa organisaatiossanne 22,1 % koulutusta ei ole järjestetty 14,2 % 27. Varmistuuko apteekkari tai organisaation vastaava johtaja henkilökunnan tietosuojaosaamisesta? 15

18 28. Miten apteekkari tai organisaation vastaava johtaja on varmistunut henkilökunnan tietosuojaosaamisesta? 16

19 29. Mitataanko henkilökunnan osaamista tietosuoja-asioissa? 30. Miten edellä tarkoitettua mittaamista on suoritettu? 31. Miten tietosuoja-asioiden ohjeistusta ja koulutusta voitaisiin kehittää? (avoin kysymys) 17

20 Reseptikeskuksen tietojen käsittelyn seuranta ja valvonta 32. Ovatko käyttövaltuuksien hallinnointiin liittyvät ohjeistukset, prosessit ja vastuut organisaatiossanne kattavasti dokumentoitu? 18

21 33. Kuka hyväksyy organisaatiossanne käyttöoikeudet apteekki- tai potilastietojärjestelmään? Valitse vastausvaihtoehdoista parhaiten kuvaava vaihtoehto. 19

22 34. Kuka organisaatiossanne käytännössä luo apteekki- tai potilastietojärjestelmien käyttäjätiedot ja käyttöoikeudet sekä ylläpitää ja poistaa ne? Valitse vastausvaihtoehdoista parhaiten kuvaava vaihtoehto. 20

23 35. Onko organisaatiossanne laadittu lokipolitiikka, joka kattaa sähköisen reseptin tietojen käsittelyyn liittyvät lokitiedot? 36. Laadittiinko organisaatiossanne vuodelle 2017 johdon hyväksymä tietojen käsittelyn seurannan ja valvonnan vuosisuunnitelma, joka kattaa myös Reseptikeskuksen tietojen käsittelyn seurannan ja valvonnan? 21

24 37. Jos seurannan ja valvonnan vuosisuunnitelma laadittiin, toteutettiinko seuranta ja valvonta suunnitelman mukaisesti? 38. Valvotaanko organisaatiossanne Reseptikeskuksen tietojen käsittelyä lokitietojen avulla? 22

25 39. Jos asiakas epäilee tietojensa väärinkäyttöä ja pyytää selvitystä tietojensa käsittelyn perusteista, selvittääkö organisaationne asian? 40. Jos asiakas epäilee tietojensa väärinkäyttöä ja pyytää lokitietoja, annetaan hänelle 23

26 41. Tehdäänkö oma-aloitteista valvontaa säännöllisesti (esim. pistokokein)? 42. Suoritetaanko tietojen käsittelyn seurantaa ja valvontaa automaattisesti toimivan järjestelmän avulla? 24

27 43. Kuinka paljon vuoden aikana tehdyn oma-aloitteisen tietojen käsittelyn valvonnan osuus on vuotuisesta käyttö- ja luovutuslokimassasta, arviosi? 44. Miten muutoin valvotte reseptitietojen käsittelyä kuin lokitietojen avulla? (avoin kysymys) 25

28 45. Minkä henkilöstöryhmän edustaja tekee käytännössä asiakas- ja/tai potilastietojen käsittelyn valvontaa organisaatiossanne? Valitse vastausvaihtoehdoista parhaiten kuvaava vaihtoehto. 26

29 46. Onko organisaatiollanne toimintaohje asiakas- ja/tai potilastietojen käsittelyyn liittyvien väärinkäytösten varalle? 47. Mitä toimenpidevaihtoehtoja toimintaohje sisältää asiakas- ja/tai potilastietojen väärinkäytöstapausten osalta? 27

30 48. Onko organisaatiossanne laadittu henkilökunnan tiedossa oleva suuntaa antava seuraamustaulukko asiakas- ja/tai potilastietojen väärinkäytösten vakavuuden arviointia varten? 49. Miten asiakas- ja/tai potilastietojen käsittelyn seurantaa ja valvontaa voitaisiin kehittää? (avoin kysymys) 28

31 Omavalvontasuunnitelma 50. Onko organisaatiossanne laadittu asiakastietolain 19 h :n mukainen (ks. lääkemääräyslaki 22 b ) tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyvä omavalvontasuunnitelma? 51. Onko laaditun omavalvontasuunnitelman toteutumista seurattu? 29

32 52. Onko laaditun omavalvontasuunnitelman sisältöä päivitetty? 53. Onko organisaatiossanne laadittu ja hyväksytty tietosuoja- ja tietoturvapolitiikka? 30

33 54. Onko henkilökunnalle ohjeistettu ja koulutettu toimintatavat järjestelmän häiriötilanteessa? 55. Miten omavalvontasuunnitelman laatimista, toteutumista ja sen ajan tasalla pitämistä voitaisiin kehittää? Miten suhtaudutte tietosuojaan organisaatiossanne? 56. Miten tärkeänä koette tietosuojan organisaatiossanne? 31

34 57. Jos organisaatiolla on tietosuojaongelmia, ne aiheuttavat mielestänne 32

35 58. EU:n yleistä tietosuoja-asetusta aletaan soveltaa toukokuussa 2018 ja kansallinen yleinen tietosuojalaki on valmisteilla. Onko organisaatiossanne valmistauduttu uudistuksen tuomiin muutoksiin toiminnassanne? 59. Mitkä viranomaiset valvovat terveys- ja sosiaalialan henkilötietojen käsittelyä? 33

36 60. Miten tietosuojaa organisaatiossanne voitaisiin mielestäsi kehittää paremmaksi? (avoin kysymys) 61. Lisätietoja, kommentteja? (avoin kysymys) 34