EU henkilötietolain tarkastelua kuntoutuksen ja kuntoutuksessa tallennettavien tietojen ja VAT:n näkökulmasta. Uudessa asetuksessa henkilötietojen käsittelyssä noudatettavia periaatteita on täsmennetty ja rekisteröidyllä on entistä suurempi oikeus tietää mitä hänestä on talletettu sekä päättää omien tietojensa käytöstä. Asetuksen mukaisia tietosuojaperiaatteita ovat: käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys käyttötarkoitussidonnaisuus tietojen minimointi tietojen täsmällisyys tietojen säilytyksen rajoittaminen tietojen eheys ja luottamuksellisuus rekisterin pitäjän osoitusvelvollisuus Rekisterin pitäjän on huolehdittava siitä, että tietosuojaperiaatteita noudatetaan kaikissa henkilötietojen käsittelyvaiheissa. Tämä tarkoittaa myös sitä, että rekisterinpitäjän on kyettävä osoittamaan, että näitä periaatteita noudatetaan. Asetuksen mukaisten tietosuojaperiaatteiden toteutuminen työhön kuntoutuksessa Käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys Tietojen käsittelyn lainmukaisuus perustuu rekisteröidyn (kuntoutuja-asiakkaan) allekirjoittamaan kirjalliseen suostumukseen. Asetuksen 6 artikla, Käsittelyn lainmukaisuus, kohta 1, kohta a. Tämä allekirjoitettu suostumuslomake on arkistoitava jotta sen olemassa olo voidaan tarvittaessa todentaa. Tietojen käsittelyn kohtuullisuus varmistetaan sillä, että mitään kuntoutuksessa tarpeetonta tietoa ei kerätä. Kerättävät tiedot liittyvät kaikki kuntoutuksen toteuttamiseen, sen dokumentointiin ja siihen, että kuntoutuja-asiakkaan kuntoutuksen perusteella saamat taloudelliset ja / tai sosiaalietuudet voidaan kuntoutujalle toimittaa. Tietojen käsittelyn läpinäkyvyys varmennetaan sillä, että kuntoutuja-asiakkaalla on oikeus saada nähtäväkseen kaikki rekisterin pitäjän hänestä tallettamat tiedot sekä pyytää oikaisemaan virheelliset tiedot. Tämä oikeus kerrotaan kuntoutuja-asiakkaalle perehdyttämisen yhteydessä samalla kun pyydetään suostumus tietojen tallentamiseen. Käyttötarkoitussidonnaisuus Kuntoutusprosessista kerätään vain sellaista tietoa joka on välttämätöntä kuntoutuksen toteuttamiseksi sekä tarvittavien tietojen välittämiseksi muille asiakkaan kuntoutukseen osallistuville ja / tai etuuksia maksaville tahoille. Tietoryhmiä ovat: henkilön perustiedot sekä sopimuksiin ja valmennusjaksoihin liittyvät tiedot läsnäolotiedot (työmaapäiväkirja) kuntoutussuunnitelman tiedot toimintakyvyn arviointitulokset mahdolliset osaamisen todentamiseen liittyvät tiedot 1
Tietojen minimointi Järjestelmään ei koota mitään sellaista tietoa, mitä ei tarvita kuntoutuksen ohjaamiseen tai kuntoutuja-asiakkaan etuuksista huolehtimiseen, eli tietoja kerättäessä ja talletettaessa täyttyy tiedon tarpeellisuus vaade. Tiedot saadaan kuntoutujaasiakkaalta itseltään sekä kuntoutusprosessin aikana kuntoutukseen osallistuvalta henkilöstöltä. Tietojen täsmällisyys Koottavat tiedot ovat määrämuotoisia ja kohdentuvat kuntoutuksen ohjaamiseen, tai kuntoutuksen edistymisestä sekä läsnäolosta tarvittavaan raportointiin. Tietojen säilytyksen rajoittaminen Kuntoutuja-asiakkaan tietoja säilytetään vain rajatun ajan. Säilytysajan pituus on määritelty kussakin käyttäjäorganisaatiossa organisaatiokohtaisesti ja se kerrotaan myös kuntoutuja-asiakkaalle perehdyttämisen yhteydessä. Asiakkaalla on EU asetuksen mukaisesti oikeus myös päättää, että hänen tietonsa poistetaan välittömästi kuntoutuksen päätyttyä, oikeus tulla unohdetuksi, artikla 17 mukaisesti. Tietojen eheys ja luottamuksellisuus Kaikki kuntoutuksessa käsiteltävät tiedot ovat luottamuksellisia ja jokainen jolle järjestelmän käyttöoikeus on annettu, on vaitiolovelvollinen. Kaikista henkilötietoihin, kuntoutussuunnitelman tietoihin ja arviointitietoihin kohdistuvista katseluista, päivityksistä ja tulostuksista menee kirjaus lokiin. Loki voidaan tulostaa pääkäyttäjän oikeuksilla. Lokitietoja ei voi muuttaa. Rekisterin pitäjän osoitusvelvollisuus Rekisterin pitäjällä on osoitusvelvollisuus siitä, että se on noudattanut tietosuojaa ja tietoturvan eri osa-alueita. Rekisterin pitäjän velvollisuus on arkistoida suostumuslomakkeet joihin oikeus tietojen tallentamiseen perustuu. Asiakasrekisterin pidon oikeutus perustuu artiklaan 6, Käsittelyn lainmukaisuus. Erityisiin henkilöryhmiin liittyvien tietojen tallentamisoikeus liittyy artiklan 9 kohtaan 2 b: käsittely on tarpeen rekisterin pitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla. VAT Tietojärjestelmän tarjoama tietosuoja VAT tietojärjestelmä on kuntoutuksen ohjaamiseen ja dokumentointiin tarkoitettu järjestelmä, jonka ohjelmisto toimii HermanIT:n palvelimella Kajaanin Renforsin rannassa. Ohjelmisto on suunniteltu siten, että kullakin käyttäjäorganisaatiolla (rekisterin pitäjä) on erillinen tietokanta johon organisaation käyttäjät kirjautuvat. Ohjelmiston käyttöön suositellaan selaimeksi joko Chrome:a tai Firefox:ia. Käyttäjän selaimen tietoturva-asetukset tulee olla valittuna siten, että selain ei tallenna salasanoja eikä historiatietoja. 2
VAT:tiin kirjautuminen tapahtuu kahdessa vaiheessa. Ensin kirjaudutaan käyttäjän organisaation tietokantaan ja toisessa vaiheessa käyttäjäorganisaation tietoihin. Ensimmäisen vaiheen käyttäjätunnukset ja salasanan antaa ohjelmiston toimittaja. Ensimmäisen vaiheen kirjautumisessa käyttäjätunnuksen ja salasanan lisäksi kirjautumisessa käytetään recaptha varmistusta. Toisen vaiheen henkilökohtaiset käyttäjätunnukset ja salasanat ovat kunkin käyttäjäorganisaation antamia eivätkä ole toimittajan tiedossa. Käyttöoikeudet on rajattu siten että työvalmentajan käyttöoikeuksilla voidaan katsella vain niiden henkilöiden tietoja johon ao. valmentaja on merkitty valmentajaksi voimassa olevalla tai viimeiseksi jääneellä valmennusjaksolla. Yksilövalmentajan (kuntoutusohjaajan) käyttöoikeuksilla voidaan tarkastella organisaation kaikkien kuntoutuja-asiakkaiden tietoja. Yksilövalmentajille järjestelmä tuo etusivulle näkyviin ne henkilöt joiden tietoihin ao. valmentaja on merkitty valmentajaksi. Tällä vältetään tahattomasti tapahtuvaa tietojen katselua. Organisaation käyttäjäoikeudet antaa pääkäyttäjä (admin) kunkin organisaation sisäisten ohjeiden mukaisesti. Kun käyttäjä siirtyy pois organisaation palveluksesta, hänen käyttöoikeutensa merkitään ei aktiiviseksi. Merkinnän tekee pääkäyttäjä (admin). Ei aktiivinen käyttäjä ei voi kirjautua järjestelmään. Järjestelmään kirjattava kuntoutuja-asiakkaan henkilötunnus kryptataan tietokantaan kirjautumisen yhteydessä. HermanIT:n tarjoamat konesalipalvelut tietoturvan ja käytettävyyden näkökulmasta HermanIT noudattaa tietoturva-asioissa ISO/IEC 27001:2013 standardia. Palvelimen ylläpitoon kuuluvat lisäksi palomuuripalvelut, virallinen SSL sertifikaatti ja sen ylläpito. Järjestelmän käyttötoimintoihin kuuluvat Palvelimen hallintapalvelut Tallennuspalvelut Järjestelmän valvonta Varmistukset ja palautukset Palvelujen hallintaa kuuluu lisäksi Palvelimen ongelma- ja muutostenhallinta Palvelimen tietoturva ja käyttöjärjestelmäpäivitykset suoritetaan kuukausittaisessa huoltokatkossa. Katkos suoritetaan kuukauden viimeisenä keskiviikkona klo 22.00. Järjestelmän jatkuvassa palvelussa ovat: Järjestelmän käytettävyys Laitteistovirhelokit 3
Järjestelmäohjelmistot Kapasiteettihälytykset Lokitiedostojen koot Lisäksi palveluun kuuluu vikatilanteiden korjaaminen ja ongelman ratkaisu. VAT palvelin varmistetaan kerran vuorokaudessa, varmistusten säilytysaika on 30 vrk. Fyysinen tietoturva Fyysinen konesalin tietoturva on järjestetty ISO/IEC 27001:2013 tietoturvan hallintajärjestelmän määrittämällä tavalla. Looginen tietoturva HermanIT asentaa, ylläpitää ja päivittää uudet tai olemassa olevat tietoturvakäytännöt jotka se näkee tarpeelliseksi. Implementoi käyttöjärjestelmän tietoturvaan liittyvät määritykset ja toiminnat. HermanIT toteuttaa palomuuripalvelun valvonnan ja hallinnan. Muut käytettävyyteen liittyvät tiedot Palvelinsalin paloturvallisuus on toteutettu jakamalla tila eri palotiloihin, joilla jokaisella on omat hälyttimet ja ilmaisimet. Hälytykset ohjautuvat automaattisesti hälytyskeskukseen. Järjestelmän toimivuus varmistetaan kuukausittain toimintatesteillä. Sähkönsyöttö on toteutettu siten että konesalissa on täysin kahdennettu teollinen sähköverkko kantaverkosta palvelintasolle saakka. Palvelin ja tietoliikennelaitteet on varustettu vähintään kahdella virtalähteellä. Jäähdytysjärjestelmät on kahdennettu. Myös jäähdytysjärjestelmän sähkönsyöttö on kahdennettu. Jäähdytyksen valvonta on toteutettu 24/7/365 ja se on huollettavissa ilman käyttökatkoja. Konesalia ympäröivä alue on aidattu ja sitä valvotaan kameravalvonnalla. Alueelle pääsee vain henkilökohtaisella kulkutunnisteella ja konesalialuetta valvotaan 24/7/365. Organisaatiokohtaiset tietojen käsittelyperiaatteet Tietosuojavastaava Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistuttava siitä, onko organisaatioon asetuksen mukaan nimettävä tietosuojavastaava. Ratkaisua mietittäessä on huomioitava esim. seuraavaa. Tietosuojavastaava on pakollinen esim. kun organisaation ydintehtävät vaativat erityisten henkilötietoryhmien laajamittaista käsittelyä 4
Epäselvissä tilanteissa suositellaan dokumentoimaan oma analyysi ja päätös tietosuojavastaavan tarpeellisuudesta Asetuksen 37 artikla Tietosuojavastaavan nimeäminen 1. b kohta määrittää asian seuraavasti: Rekisterin pitäjän ja henkilötietojen käsittelijän on nimettävä tietosuojavastaava aina kun: Kun rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja /tai tarkoituksensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa. Edellä olevan lisäksi tällä hetkellä sosiaali- ja terveydenhuollon palveluja tarjoavilla sekä apteekeilla on velvollisuus nimittää tietosuojavastaava voimassa olevan kansallisen lainsäädännön nojalla. Tietosuojavastaava voidaan nimetä vaikka tietosuoja-asetus ei tähän nimenomaisesti velvoita. Tietosuojavastaavan tehtävät: seuraa tietosuojasääntöjen noudattamista koko organisaatiossa antaa tietoja ja neuvoja tietosuojasääntöjen mukaisista velvollisuuksista johdolle ja henkilötietoja käsitteleville työntekijöille antaa pyydettäessä neuvoja tietosuojan vaikutustenarvioinnin (DPIA) tekemisestä ja valvoo vaikutustenarvioinnin toteutusta on rekisteröityjen yhteyshenkilö henkilötietojen käsittelyyn liittyvissä asioissa tekee yhteistyötä valvontaviranomaisen kanssa ja toimii valvontaviranomaisen yhteyshenkilönä. Organisaation on julkistettava tietosuojavastaavan yhteystiedot ja ilmoitettava ne valvontaviranomaiselle. Valvontaviranomaisena toimii tällä hetkellä Tietosuojavaltuutetun toimisto ja ilmoituksen voi tehdä vapaamuotoisena. Sähköpostiosoite on tietosuoja@om.fi Postiosoite on: Tietosuojavaltuutetun toimisto Ratapihantie 9, 6. krs 00520 HELSINKI Henkilötietojen säilyttämisaika Organisaation on määriteltävä se aika, jonka jälkeen kuntoutuja-asiakkaan henkilötiedot poistetaan tietojärjestelmästä. VAT järjestelmässä määriteltävän ajan laskeminen voidaan aloittaa kuntoutuja-asiakkaan viimeisen valmennusjakson päättymispäivämäärästä. Yksiselitteistä määräaikaa tietojen säilyttämiseen ei ole, vaan organisaation on päätettävä säilytysajasta tekemänsä viranomaisyhteistyön sekä kuntoutuja-asiakkaidensa etujen pohjalta. 5
Henkilötietojen säilyttämisen määräaikaa päätettäessä voidaan nojautua henkilötietolain 1999/523 seuraaviin pykäliin: 5 Huolellisuusvelvoite Rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun. 6 Henkilötietojen käsittelyn suunnittelu Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään. 7 Käyttötarkoitussidonnaisuus Henkilötietoja saa käyttää tai muutoin käsitellä vain tavalla, joka ei ole yhteensopimaton 6 :ssä tarkoitettujen käsittelyn tarkoitusten kanssa. Myöhempää henkilötietojen käsittelyä historiallista tutkimusta taikka tieteellistä tai tilastotarkoitusta varten ei pidetä yhteen sopimattomana alkuperäisten käsittelyn tarkoitusten kanssa. 9 Tietojen laatua koskevat periaatteet Käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia (tarpeellisuusvaatimus). Rekisterinpitäjän on huolehdittava siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä (virheettömyysvaatimus). Rekisterinpitäjän velvollisuutta arvioitaessa on otettava huomioon henkilötietojen käsittelyn tarkoitus sekä käsittelyn merkitys rekisteröidyn yksityisyyden suojalle. Asiakkaiden tiedot poistetaan järjestelmästä adminin (pääkäyttäjä) käyttöoikeuksilla. Poisto tapahtuu antamalla päivämäärä jota vanhemmat tiedot poistetaan. Tämän lisäksi EU:n tietosuoja-asetuksen mukaisesti asiakkaalla on oikeus tietojen poistamiseen artiklan 17 mukaisesti. Oikeus tietojen poistamiseen. Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterin pitäjällä on velvollisuus poistaa 6
henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy: Henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin ja joita varten niitä muutoin käsiteltiin. Rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut 6 artiklan 1 kohdan a alakohdan, tai 9 artiklan 2 kohdan a alakohdan mukaisesti, eikä käsittelyyn ole muuta laillista perustetta. Yksittäinen henkilö poistetaan valitsemalla henkilö, poisto tapahtuu adminin käyttöoikeuksilla. Järjestelmän käytön loputtua muutetaan järjestelmän toimittajan toimesta ensin organisaation tietokannan tunnus siten, että tietokantaa ei voida käyttää. Myöhemmin tietokanta tuhotaan kokonaan jolloin myös varmistukset poistuvat. Järjestelmän pääkäyttäjä Tietoturvan näkökulmasta tarkasteltuna VAT järjestelmän pääkäyttäjän tehtäviin kuuluvat: Loppukäyttäjien käyttäjätunnusten ja salasanojen ylläpito. Ylläpitoon kuuluu myös se, että käyttäjä joka on jonkin aikaa poissa järjestelmän käytöstä (esim. muualla tapahtuvan pitkäkestoisen opiskelun aikana), merkitään ei aktiiviseksi käyttäjäksi jolloin järjestelmä estää ao. käyttäjätunnuksella kirjautumisen. Tarvittaessa lokitiedostojen tulostamisen ja tietojen tarkastamisen yhdessä tietosuojavastaavan sekä tarkastusta pyytäneen rekisteröidyn kanssa. Asiakastietojen poistaminen joko yksittäin, tai organisaation määrittelemän tietojen säilytysajan täytyttyä. Lisäksi tietoturvan näkökulmasta pääkäyttäjän ja tietosuojavastaavan on syytä varmistaa, että organisaatiossa käytettävien työasemien haittaohjelmien torjunta on ajan tasalla sekä se, että selaimen tietoturva-asetuksissa on valittu toiminnot Ei talleteta salasanoja sekä historiatiedoissa Ei mitään historiatietoja. Lisätietoja Henkilötietolaki EU:n yleinen tietosuoja-asetus Tietosuojavaltuutetun toimiston julkaisu Miten valmistautua EU:n tietosuoja-asetukseen 7