JOHDON VELVOITTEET JA VASTUU yleiset periaatteet. Ylitarkastaja Arto Ylipartanen Tietosuojavaltuutetun toimisto

Transkriptio

1 JOHDON VELVOITTEET JA VASTUU yleiset periaatteet Ylitarkastaja Arto Ylipartanen Tietosuojavaltuutetun toimisto Kuntamarkkinat,

2 LUENNON AIHEET 1. Tietosuojan kehitys sosiaali- ja terveydenhuollossa Kohti sähköisiä, keskitettyjä valtakunnallisia henkilörekistereitä 2. Tarvitaan tasapainottavia tekijöitä mitä ne ovat? 3. Yhteenveto 2

3 1. Tietosuojan kehitys a) Kohti lailla säätelemistä (ennen 2000-lukua) b) Tietosuojariskien lisääntyminen (2000-luvulla) c) Luottamus 3

4 a) Kohti lailla sääntelemistä ennen lukua: Hippokrateen vala lääkäreille (n vuotta sitten) Suuret vallankumoukset (1700 luvulla) Joukkotiedotusvälineiden kehittyminen (1890 luku) II-maailmansota (1940 luku) IT-teknologia (1960-luvulta alkaen) Henkilörekisterilaki ( ) Rikoslaki (tieto- ja viestintärikokset, 1995) Perusoikeusuudistus ( ) EU:n henkilötietodirektiivi ( ) Henkilötietolaki (523/99, ) (tulossa uusi EU:n tietosuoja-asetus) 4

5 b) Tietosuojariskien lisääntyminen 2000-luvulla Kohti sähköisiä valtakunnallisia keskitettyjä rekistereitä/arkistoja: Laki sähköisestä lääkemääräyksestä (61/2007, voimaan ); Kelan Reseptikeskus/eResepti Terveydenhuoltolaki 9 (1326/2010, voimaan ); SHPn alueen yhteiskäytössä oleva potilastietorekisteri Kunkin SHP:n alueen sisällä sijaitsevat julkisen terveydenhuollon toimintayksiköt Asiakastietolaki (159/2007, voimaan ); Valtakunnallinen Kelan ylläpitämä potilastiedon sähköinen earkisto otetaan käyttöön (2014) Potilastietojen käsittelyn keskittymisen seurauksena tietosuojariskit kasvavat: paljon tietoja paljon potilaita paljon käyttäjiä 5

6 c) Luottamus potilastietojen lailliseen käsittelyyn luvulla EU:n Erobarometrit/luottamusindikaattorimittaukset vuosina 2003 ja 2008 EU:n jäsenvaltioiden kansalaisten käsitys luottamuksesta (%) henkilötietojen käsittelyyn eri toimialoilla 6

7 7

8 Luottamus potilastietojen lailliseen käsittelyyn Tietosuojavaltuutetun lausunnot rikoslausuntopyyntöihin poliisille/syyttäjälle 2000 luvulla Poliisin tietoon tulleet tieto- ja viestintärikokset luvulla 8

9 Tietosuojavaltuutetun antamat lausunnot rikoslausuntopyyntöihin syyttäjälle 2000-luvulla v v v v v v v v.2007 v.2008 v.2009 v.2010 v.2011 v.2012 V.2013

10 Tieto- ja viestintärikokset RL 38 luku/poliisin tietoon tulleet 10

11 2. Tarvitaan tietosuojariskejä tasapainottavia tekijöitä Vaakakupin toinen puoli / tasapaino ; ereseptil 61/2007, 24, ja AsiakastietoL 159/2007, 10 ja 20, TerveydenhuoltoL 1326/2010, 9 : 1) Tietosuojavastaava nimettävä organisaatioon tehtävät ja toimenkuva määriteltävä 2) Vastaavan johtajan velvollisuus annettava kirjalliset ohjeet työntekijöille potilastietojen käsittelystä + varmistuttava henkilöstön tietosuoja-osaamisesta 3) Hoitosuhteen tietotekninen varmistus etukäteen 4) Rekisterinpitäjän velvollisuus käytönvalvontaan lokitietojen kerääminen ja pitkäaikaissäilytys sekä potilastietojen käytön seuranta ja valvonta jälkikäteen 5) Kansalaisen omien potilastietojen lokimerkintöjen ekatselu nyt jo Kelan Reseptikeskus ja myöhemmin potilastiedon earkisto 11

12 Tietosuojavastaavan nimeäminen, tehtävät ja toimenkuva Laki sähköisestä lääkemääräyksestä (61/2007, ereseptil 24 ) ja Laki sosiaali- ja terveydenhuollon asiakastiedon sähköisestä käsittelystä (159/2007, AsiakastietoL 20 ) em. lait ja lakien esityöt eivät juurikaan avaa tietosuojavastaavan tehtäviä Tietosuojavaltuutetun toimiston ja STM:n ohjeistus oppaassa: Tietosuojavastaavan toimenkuva, tehtävät ja asema ; tuutettu/tietosuojavaltuutetuntoimisto/oppaat/6jfqn4sf1/t ietosuojavastaavan_toimenkuva_tehtavat_ja_asema.pdf 12

13 Tietosuojavastaavan tehtävät ja asema Osallistuu lisäresurssina rekisterinpitäjälle kuuluviin tehtäviin hallinnollisen johdon apuna henkilöstön tukena Tehtävien laajuus sovitaan erikseen työsopimuksessa ja tehtäväkuvassa lähinnä potilastietojen käytön seuranta ja valvonta + raportit sekä suunnittelu- ja toimeenpanotehtäviä Luvattoman käsittelyn epäilyä koskevassa selvittämisessä usein koordinoiva rooli (käytönvalvonnan vuosisuunnitelma) päätökset tekee hallinnollinen johto hallinnollinen johto ei voi ulkoistaa rekisteripidon vastuita tietosuojavastaavalle normaali työntekijän vastuu mm. työtehtävien laiminlyömisessä 13

14 Oikeudellisia lähtökohtia kootusti Henkilötietojen suojausvelvoite eli rekisterinpitäjän tekniset ja organisatoriset toimenpiteet (HetiL 32 ) henkilökohtaiset käyttäjätunnukset työtehtävien mukaiset, rajatut käyttöoikeudet (HetiL 5,6,7 ja 32 ja STM:n potilasasiakirja-asetus 4 ) uusilta työntekijöiltä salassapito ja käyttäjäsitoumus (esimies ja alainen) käytönvalvonnan toiminta- ja vuosisuunnitelma (vastaava johtaja ja tietosuojavastaava) 14

15 Oikeudellisia lähtökohtia Terveydenhuollon erityislait Pidettävä kirjaa asiakastietojärjestelmiensä ja rekisteriensä käyttäjistä, näiden käyttöoikeuksista ja potilastietojen käytöstä 15

16 Oikeudellisia lähtökohtia Euroopan ihmisoikeustuomioistuimen (EIT) päätös asiassa I. v Suomi Käytönvalvontajärjestelmä oli puutteellisesti toteutettu Potilaan käytännöllinen ja tehokas suoja puuttui Johtopäätös: Potilastietojen laittoman käsittelyn epäily on kyettävä jälkikäteen selvittämään 16

17 Oikeudellisia lähtökohtia Ei ole kyse työntekijän perusteettomasta valvonnasta, vaan lakiin perustuvasta työntekijän oikeusturvan toteuttamisesta sekä potilaan yksityisyyden suojaamisesta 17

18 TSV:n käytönvalvonnan ohjeiden esittely TSV:n kotisivulla internetissä käytönvalvonnan ohjeet : 1) Yleisohje lokitiedoista ( , päivitetty ): Lokitiedot henkilötietojen suojaamisen välineinä 2) Lokitietojen käsittelystä käytönvalvonnassa on laadittu ohje ( , päivitetty ): Ohje asiakasaloitteisesta käytönvalvonnasta 3) Ohjeen yksityiskohtia on käsitelty erikseen muistiossa ( , päivitetty ): Muistio käytönvalvontaohjeesta 18

19 Työnantajan ennakkotoimenpiteet Ennen käytön seurannan ja valvonnan aloittamista Työntekijät tietoisiksi seurannan ja valvonnan aloittamisesta Työntekijät tietoisiksi, mikä on laitonta potilastietojen käsittelyä Työntekijät tietoisiksi potilastietojen laittoman käsittelyn seuraamuksista 19

20 YHTEENVETO Mahdollisuutena ja haasteena : 1. Mahdollisuutena kun johto sitoutuu; laatii kirjalliset ohjeet ja kouluttaa henkilöstön sekä hyödyntää tietosuojavastaavan a. henkilöstön osaaminen ja oikeusturva paranevat sekä b. potilasturvallisuus ja yksityisyyden suoja paranevat. 2. Ottamalla käyttöön mm. työntekijöiltä käyttäjäsitoumukset sekä YT-menettely käytönvalvonnasta ja luvattoman käytön seuraamuksista a. tietoisuuden lisääminen hyvästä potilastietojen käsittelytavasta paranee ja toimii ennakollisena suojaustoimena 3. Haasteena rekisterinpitäjän oma-aloitteinen ja suunnitelmallinen jälkikäteinen valvonta a. käyttölokien erilaisuus eri järjestelmissä sekä b. käytönvalvonnan automatisointi. 20

21 KIITOS, mielenkiinnostanne! 21