Tietosuojan käytännesäännöt sosiaali- ja terveydenhuoltoon?

Tietosuojan käytännesäännöt sosiaali- ja terveydenhuoltoon? Korkeakoulujen käytännesääntötyö SOTE tietosuojaseminaari, 20.-21.11.2018, Finlandia-talo Helena Eronen, tietosuojavastaava, UEF UEF // University of Eastern Finland

2 UEF // University of Eastern Finland 21.11.2018 2

GDPR ja tietosuojalaki Käytännesäännöt UEF // University of Eastern Finland

GDPR: Art. 40 Käytännesäännöt Jäsenvaltioiden, valvontaviranomaisten, tietosuojaneuvoston ja komission on edistettävä sellaisten käytännesääntöjen laatimista, joiden avulla tuetaan tämän asetuksen asianmukaista soveltamista, ottaen huomioon käsittelyn eri sektorien erityispiirteet ja mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet Resitaali 98: Kannustettava laatimaan käytännesääntöjä, jotta Asetuksen soveltamista voidaan helpottaa Rekisterinpitäjien ja henkilötietojen käsittelijöiden velvoitteita voidaan sopeuttaa ottaen huomioon yksityisyyden suojaan kohdistuva tietojenkäsittelyn riski UEF // University of Eastern Finland 21.11.2018 4

GDPR: Käytännesäännöt Käytännesääntöjä voi laatia mm. seuraavista: käsittelyn asianmukaisuus ja läpinäkyvyys rekisterinpitäjän oikeutetut edut tietyissä yhteyksissä henkilötietojen kerääminen henkilötietojen pseudonymisointi yleisölle ja rekisteröidyille tarkoitettu tiedotus rekisteröidyn oikeuksien käyttäminen lapsille tarkoitettu tiedotus ja lasten suojelu sekä suostumus tietojenkäsittelyn turvallisuuden varmistaminen tietoturvaloukkauksista ilmoittaminen henkilötietojen siirto kolmansiin maihin tai kansainvälisille järjestöille; tuomioistuinten ulkopuoliset ja muut riidanratkaisumenettelyt UEF // University of Eastern Finland 21.11.2018 5

GDPR: Käytännesäännöt Käytännesääntöjen luonnos, muutos tai laajennus toimitetaan valvontaviranomaiselle. Valvontaviranomainen antaa lausunnon siitä, onko käytännesääntöjen luonnos tai muutos tai laajennus asetuksen mukainen, ja hyväksyy tämän käytännesääntöjen luonnoksen, muutoksen tai laajennuksen, jos se katsoo sen tarjoavan riittävät asianmukaiset takeet. Valvontaviranomainen rekisteröi ja julkaisee käytännesäännöt, jos käytännesääntöjen luonnos, muutos tai laajennus on tietosuoja-asetuksen mukainen ja käytännesäännöt eivät liity käsittelytoimiin useissa eri jäsenvaltioissa. Jos käytännesääntöjen luonnos liittyy käsittelytoimiin useissa eri jäsenvaltioissa, valvontaviranomainen toimittaa sen ennen hyväksymistä tietosuojaneuvostolle, joka antaa siitä lausunnon, jonka toimittaa komissiolle. UEF // University of Eastern Finland 21.11.2018 6

GDPR: Käytännesäännöt Komissio voi antaa täytäntöönpanosta säädöksiä, joissa se toteaa, että sille esitetyt hyväksytyt käytännesäännöt, muutokset tai laajennukset ovat yleisesti päteviä unionissa. Komissio huolehtii hyväksyttyjen unionin tasoisten käytännesääntöjen asianmukaisesta julkaisemisesta. Tietosuojaneuvosto kokoaa kaikki hyväksytyt käytännesäännöt, muutokset ja laajennukset ja asettaa ne julkisesti saataville. UEF // University of Eastern Finland 21.11.2018 7

Tietosuojalaki, Hallintovaliokunnan mietintö HaVM 13/2018 vp HE 9/2018 vp Tarvitaan selkeä sääntely ja soveltamista helpottamaan tulee olla tarjolla ymmärrettävää ohjeistusta ja neuvontaa. Sääntelyä voidaan selkeyttää myös tietosuoja-asetuksen mukaisilla käytännesäännöillä. Käytännesäännöt on mahdollista laatia siten, että kulloinkin kyseessä olevan toimialan erityistarpeet tulevat asianmukaisesti huomioiduiksi. UEF // University of Eastern Finland 21.11.2018 8

Tietosuojalaki 31: Tieteellisiä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten tapahtuvaa henkilötietojen käsittelyä koskevat poikkeukset ja suojatoimet Käsiteltäessä henkilötietoja tieteellistä tai historiallista tutkimustarkoitusta varten voidaan tietosuoja-asetuksen 15, 16, 18 ja 21 artiklassa säädetyistä rekisteröidyn oikeuksista tarvittaessa poiketa edellyttäen, että: 1. käsittely perustuu asianmukaiseen tutkimussuunnitelmaan; 2. tutkimuksella on vastuuhenkilö tai siitä vastaava ryhmä; ja 3. henkilötietoja käytetään ja luovutetaan vain historiallista tai tieteellistä tutkimusta taikka muuta yhteensopivaa tarkoitusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille. Käsiteltäessä erityisiä henkilötietoryhmiä koskevia henkilötietoja poikkeaminen rekisteröidyn oikeuksista edellyttää lisäksi, että laaditaan tietosuojaa koskeva vaikutustenarviointi tai noudatetaan tietosuoja-asetuksen 40 artiklan mukaisia käytännesääntöjä, joissa on otettu asianmukaisesti huomioon edellä tarkoitettu rekisteröidyn oikeuksista poikkeaminen. Vaikutustenarviointi tulee toimittaa kirjallisesti tiedoksi tietosuojavaltuutetulle ennen käsittelyyn ryhtymistä. UEF // University of Eastern Finland 21.11.2018 9

Korkeakoulujen tietosuojayhteistyö UEF // University of Eastern Finland Esityksen nimi / Tekijä 21.11.2018 10

Korkeakoulujen tietosuojavastaavien verkosto Mukana kaikkien korkeakoulujen tietosuojavastaavat Verkoston vahvuutena eri taustaiset tietosuojavastaavat Työskentelyalustana https://tt.eduuni.fi/sites/kity/eugdpr/ Vaatii kirjautumisen Sähköpostilista: aktiivista keskustelua ja ajatusten vaihtoa, vertaistukea Ollut tärkeässä roolissa, koska esim. kansallinen tietosuojalaki viivästynyt. Käytännön haasteena erityisesti keväällä oli yhteistyön organisointi, koska kaikilla kova kiire. UEF // University of Eastern Finland 21.11.2018 11

Korkeakoulujen tietosuojavastaavien verkosto Koko verkoston seminaarit 6.9.2017, 2.11.2017, 16.1.2018, 25.4.2018, 19.9.2018 Seuraava seminaari suunnitteilla keväälle yhdessä SEC-ryhmän (korkeakoulujen tietoturvapäälliköt) kanssa Pienemmillä ryhmillä materiaalien valmistelua Tietotilinpäätöksen työpaja CSC:llä Työvaliokunta (6 henkilöä) organisoi verkoston työtä, kokoontunut 2-3 viikon välein. Työvaliokunnassa edustettuna Hämeenlinnan amk, Kajaanin amk, Tampereen amk, Aalto yliopisto, Itä-Suomen yliopisto ja Taideylipisto, pj. Kari Kataja (HAMK) UEF // University of Eastern Finland 21.11.2018 12

Korkeakoulujen tietosuojavastaavien verkosto Jaettu dokumenttipohjia, ohjeita, linjauksia yms. Tietosuojailmoituksien pohjat (rekisteröidyn informointi) Mobiiliturvaohje Vaikutustenarvioinnit Tietosuojaprosesseja (erityisesti 72h ilmoitusvelvollisuus) Käsittelyperusteita mietitty yhdessä Suositus osallistua TAISTO18 https://vrk.fi/taisto harjoitukseen Paljon keskusteltu rekisterinpitäjyydestä esim. tutkimuksessa ja opinnäytetöissä Yhdenmukaistamista tehdään käytännesäännöillä (tutkimus, opintotiedot) UEF // University of Eastern Finland 21.11.2018 13

Korkeakoulujen tietosuojan käytännesääntötyö Aloitettu tietosuojan käytännesääntöjen laatiminen jo vuonna 2012 lopputuloksena Korkeakoulujen opintotietojen tietosuojan käytännesäännöt (päivitettävänä) Tutkimuksen tietosuojan käytännesääntöjen valmistelu aloitettu syyskuussa 2017 UEF // University of Eastern Finland 21.11.2018 14

Opintotietojen tietosuojan käytännesäännöt UEF // University of Eastern Finland

Opintotietojen tietosuojan käytännesäännöt 1 Aloite RAKETTI-Opi hankkeessa Kesällä 2012 OHA-foruumi (yliopistojen opintohallinnon päälliköiden verkosto, www.oha-forum.fi) päätti, että Laura Karppinen(HY) ja Anna Johansson(Aalto) laativat ehdotuksen korkeakoulujen käytännesäännöiksi opiskelijoiden henkilötietojen käsittelyyn. Tavoitteena käyttökelpoiset toimintasuositukset korkeakouluille tyypillisiin tilanteisiin, joissa käsitellään hakijoiden tai opiskelijoiden henkilötietoja Opintoasioiden tietosuojaryhmä, OTTO, seurannut valmistumista ja kommentoinut sisältöä Tietosuojavaltuutettu tarkastanut lainmukaisuuden Suositus, eivät sido korkeakouluja UEF // University of Eastern Finland 21.11.2018 16

Käytännesääntöjen päivittäminen Käytännesääntöjen päivittäminen GDPR:n mukaisiksi Työ on alkanut. Muistiot tulevat eduuniin (kirjautumisen takana Työryhmässä edustajat: Lapin amk, Oulun amk, Aalto yliopisto, Helsingin yliopisto ja OKM, pj. Ulla Virranniemi, Oulun amk, sihteeriys kiertää Kohderyhmä opintohallinto, opettajat ja opiskelijat, tavoitteena selkeät ohjeet arjen työhön Huomioitava mm.: GDPR, julkisuuslaki, tietosuojalaki, KOSKI-laki, arkistolaki, hallintolaki ja sähköinen asiointilaki; seurataan tiedonhallintalain valmistelua; tyylissä pyritään käytännönläheisyyteen mm. esimerkkien avulla UEF // University of Eastern Finland 21.11.2018 17

UEF // University of Eastern Finland Esityksen nimi / Tekijä 21.11.2018 18

Korkeakoulujen tutkimuksen tietosuojan käytännesäännöt UEF // University of Eastern Finland Esityksen nimi / Tekijä 21.11.2018 19

Taustaa Korkeakoulujen opintotietojen tietosuojan käytännesäännöt valmistuivat 5/2017 Tietosuojavaltuutettu otti opintotietojen käytännesäännöissä kantaa myös tutkimuskysymyksiin Todettiin korkeakoulujen tietosuojavastaavien kesken, että tarvitaan myös tieteellisen tutkimuksen osalta tietosuojan käytännesäännöt Perustettiin oma-aloitteisesti työryhmä laatimaan Korkeakoulujen tutkimustoiminnan tietosuojan käytännesääntöjä Alun perin mukana: Aalto-yliopisto, Helsingin yliopisto, Jyväskylän yliopisto, Itä-Suomen yliopisto ja CSC UEF // University of Eastern Finland 21.11.2018 20

Käytännesääntötyö nyt Alkuperäiseen verrattuna organisaatioiden määrä tuplaantunut - Yliopistoista mukana nyt Aalto, Helsinki, Jyväskylä, Lappeenranta, Lappi, Oulu, Tampere, Turku ja UEF - Ammattikorkeakouluista Turun AMK ja Hämeen AMK. - HUS ja PSSHP - THL ja VTT Esillä korkeakoulujen tietosuojavastaavien tapaamisissa Käytännesäännöt koskevat Suomessa tehtävää tutkimusta Tarkoituksena on myös seurata muualla Euroopassa tapahtuvaa käytännesääntötyötä ja jos eurooppalaisten tutkimuksen tietosuojan käytännesääntöjen valmistelutyö käynnistyy, mahdollisesti osallistua siihen UEF // University of Eastern Finland 21.11.2018 21

Käytännesääntöjen alkuperäinen sisältö o Keskeiset käsitteet o Henkilötietojen käsittelyn edellytykset o Roolit ja vastuut o Tietosuojaa koskeva vaikutustenarvio o Informointivelvollisuus ja rekisteröidyn oikeudet o Henkilötietojen siirto ja luovutus o Tutkimusetiikka o Tietoturva o Julkisuus ja tietosuoja UEF // University of Eastern Finland 21.11.2018 22

Käytännön työ tähän asti Tapaamiset n. kerran kuussa etäkokouksina tai paikan päällä, varattu aikaa myös kirjoitustyöhön Kaikki ovat edelleen tervetulleita käytännesääntötyöhön Tavoitteena on luoda selkeät ohjeet henkilötietojen käsittelystä tieteellisessä tutkimuksessa Kohderyhmänä tutkijat Pyritään lisäämään paljon käytännön esimerkkejä UEF // University of Eastern Finland 21.11.2018 23

Pohdintaa aiheuttaneet Rekisterinpitäjyys Tutkija/tutkimusryhmä? Korkeakoulu? Yhteisrekisterinpitäjyys? Vanhojen aineistojen käsittelyperuste, jos pyydetty suostumus ei vastaa GDPR:n vaatimuksia Näytteiden luovuttaminen EU:n ulkopuolisiin biopankkeihin esim. NIH USA ja tutkimusyhteistyö EU:n ulkopuolisten maiden kanssa UEF // University of Eastern Finland 21.11.2018 24

Miten edetään? Vuoden 2019 alkupuolella on odotettavissa Euroopan tasoiset ohjeet käytännesääntöjen sisällöstä ja sitä kautta saattaa tulla toimintaohjeita myös valvontaviranomaiselle odotetaan näitä ohjeita Korkeakoulujen tutkimuksen tietosuojan käytännesääntötyöryhmä on järjestäytynyt: pj Tuomas Tähtinen ja sihteeri Helena Eronen Tehdään yhteistyötä korkeakoulujen tietosuojavastaavien verkoston, TENKin (Tutkimuseettinen neuvottelukunta) ja TUKIJAn (Valtakunnallinen lääketieteellinen tutkimuseettinen neuvottelukunta) kanssa Tietosuojavaltuutetun toimiston johdolla aloitetaan tutkimuksen tietosuojan sidosryhmäyhteistyö, jossa seurataan käytännesääntötyön etenemistä ja kommentoidaan käytännesääntöjen sisältöä UEF // University of Eastern Finland 21.11.2018 25

Tutkimuksen tietosuojaryhmä, TUTTI Tietosuojavaltuutetun toimiston johtama sidosryhmäyhteistyö mm. Terveydenhuollon tietosuojaryhmä, TELLU Tietosuojavaltuutetun Sosiaalihuollon tietosuojaryhmä, toimiston johtama SOHVIsidosryhmäyhteistyö Terveydenhuollon tietosuojaryhmä, TELLU Opintoasioiden tietosuojaryhmä, OTTO Sosiaalihuollon tietosuojaryhmä, SOHVI Taustalla Opintoasioiden tutkimuksen tietosuojaryhmä, tietosuojan OTTO käytännesääntötyö, jonka edetessä Tieteellisen havaittu tarve tutkimuksen laajaan yhteistyöhön tietosuojan käytännesääntötyö korkeakoulujen, tutkimuslaitosten ja tietosuojavaltuutetun Aloitettu 9/2017 toimiston kesken Tutkimuksen Tutkimuksen tietosuojaryhmä, tietosuojaryhmä, TUTTI, TUTTI, perustettu perustettu 14.11.2018 14.11.2018 Toimii tietosuojavaltuutetun toimiston johdolla Tietosuojavaltuutetun Toimii tietosuojavaltuutetun toimiston, toimiston korkeakoulujen johdolla ja tutkimuslaitosten edustajat Tutkimuksen Tietosuojavaltuutetun tietosuojaan toimiston, liittyvät korkeakoulujen, ajankohtaiset asiat, yo-sairaaloiden käytännesääntötyön ja seuraaminen tutkimuslaitosten ja kommentointi edustajat Tutkimuksen tietosuojaan liittyvät ajankohtaiset asiat, käytännesääntötyön seuraaminen ja kommentointi UEF // University of Eastern Finland 21.11.2018 26

SOTE sektorilla on jo mm: Tietosuoja-asetus ja tuleva tietosuojalaki Laki potilaan asemasta ja oikeuksista Asiakastietolaki, reseptilaki Laki terveydenhuollon ammattihenkilöistä Terveydenhuoltolaki Sosiaalihuoltolaki Sosiaalihuollon asiakasasiakirjalaki Asetus potilasasiakirjoista STM:n ohje potilasasiakirjoista THL:n ja Kelan Kanta-palveluihin liittyvät käsikirjat, ohjeet, verkkokoulut Tulossa: sote-uudistus, asiakastietolain uudistus, toissijaisen käytön laki UEF // University of Eastern Finland 21.11.2018 27

Tietosuojan käytännesäännöt SOTE-sektorille? Vaikka lainsäädäntöä, ohjeistusta ja malleja on paljon, niin sen pohjalta palveluntuottajat laatineet omat ohjeensa Periaatteessa samanlaiset kaikissa, mutta eroja käytänteissä voi silti olla ja asiakas voi saada erilaista palvelua saman asian tiimoilta eri organisaatioissa esim. asiakaslähtöisessä käytönvalvonnassa erilaiset käytännöt siitä luovutetaanko tulosteita asiakkaalle vai ei Voisiko ajatella, että laadittaisiin yhteiset tietosuojan käytännesäännöt myös sote-organisaatioille? Käytännesääntö + tarkempi ohjeistus? Käytännesäännön taso kaikilla sote-organisaatioilla sama Tarkemmassa ohjeistuksessa voitaisiin huomioida organisaatioiden erityispiirteet tarvittaessa pohja kuitenkin sama kaikille? UEF // University of Eastern Finland 21.11.2018 28

Tietosuojan käytännesäännöt SOTE-sektorille? Käytännesääntötyön organisointi korkeakoulujen tapaan? Käytännesääntöjä valmisteleva ryhmä, joka valmistelee luonnoksen Riittävän laaja edustus sote-sektorilta, ei kuitenkaan paisuteta ryhmää liian laajaksi TELLU/SOHVI ryhmät seuraavat valmistelua ja antavat kommentteja valmiista osioista Laaja kommentointikierros luonnoksen valmistuttua Valvontaviranomaisen hyväksyntä ja julkaisu GDPR:n mukaisesti Käyttöön sote-organisaatioissa UEF // University of Eastern Finland 21.11.2018 29

Kiitos! Keep calm, don t panic and wait for further instructions UEF // University of Eastern Finland