Tietosuojavastaavan toiminta ja dokumentointi Johanna Sorvettula Tietosuojavastaava Hallintojohtaja, varatuomari, MBA 2015 EPSHP - Johanna Sorvettula 1 Tietosuojavastaavan tehtävät Tietosuojavastaavan nimeäminen organisaatioon ei poista rekisterinpitäjänä olevan organisaation vastuuta. Tämä rekisterinpitäjän vastuu sisältää velvoitteet; - määritellä henkilötietojen keräämisen ja käsittelyn tarkoitus, - suunnitella henkilötietojen käsittelytoimet koko tiedon elinkaaren ajaksi, - analysoida, kirjata muistiin ja kuvata rekisterinpitäjän tehtävien hoitoon liittyvät henkilötietojen käsittelyt ja niihin liittyvät vastuut, toimivallat ja menettelyt, - varmistua henkilötietojen käsittelyn lainmukaisuudesta, - huolehtia tietojen laadusta, tarpeellisuudesta ja virheettömyydestä, - varmistua henkilötietojen suojaamisesta, - huolehtia rekisteröityjen oikeuksien toteutumisesta, erityisesti tarkastus-, tiedonkorjaus- ja kielto-oikeuden toteuttamisesta, - laatia tietosuojaseloste ja informoida rekisteröityjä - huolehtia mahdollisesti tarvittavien viranomaisilmoitusten tekemisestä, - laatia henkilöstön käyttöön tietosuoja-ohjeet, - seurata ja valvoa henkilötietojen käsittelyä. 2015 EPSHP - Johanna Sorvettula 2 1
Tietosuojavastaavan tehtävät Tietosuojavastaavan tehtävänä on auttaa rekisterinpitäjää edellä mainittujen velvoitteiden toteuttamisessa. Tietosuojavastaavan toimenkuva Tietosuojavastaavan tehtävänä on organisaation erityisasiantuntijana auttaa rekisterinpitäjää saavuttamaan hyvän henkilötietojen käsittelytavan ja mahdollisten erityislakien edellyttämä korkea tietosuojan taso, jonka avulla voidaan rakentaa ja säilyttää luottamus rekisteröidyn ja rekisterinpitäjän välille. Näin ollen tietosuojavastaavan tehtävänä on antaa asiantuntija-apua sekä organisaation henkilöstölle että ennen kaikkea johdolle, jolla on viimekätinen vastuu rekisterinpitäjänä henkilötietojen käsittelystä. 2015 EPSHP - Johanna Sorvettula 3 Tietosuojavastaavan tehtävät Tätä rekisterinpitäjän toimintaa tukevaa tarkoitusta varten, tietosuojavastaava; - osallistuu organisaation henkilötietojen käsittelyä koskevaan suunnittelutoimintaan, - osallistuu rekisterinpitäjän hyväksymiä tietosuoja- ja tietoturvaohjeita koskevaan valmisteluun ja ylläpitoon, - seuraa ja valvoo henkilötietojen käsittelyä ja niiden suojausmenetelmiä, - osallistuu rekisterinpitäjän henkilöstölle annettavan tietosuojakoulutuksen toteuttamiseen, - tukee henkilökuntaa ja rekisteröityjä tietosuoja-asioissa, - toimii yhdyssiteenä valvontaviranomaisiin, - raportoi organisaation johdolle tietosuojan (ja tietoturvallisuuden) tilasta ja kehittämistarpeista (sisäiset auditoinnit ja käytönvalvonta), - vastaa organisaation johdon osoittamista muista tietosuojaa tukevista tehtävistä. 2015 EPSHP - Johanna Sorvettula 4 2
Tietosuojavastaavan asema Voidakseen tukea rekisterinpitäjää mahdollisimman tehokkaasti, tulisi tietosuojavastaavan voida suorittaa edellä mainitut tehtävät ja niihin liittyvät suunnittelu, seuranta ja raportointitehtävät mahdollisimman itsenäisesti. Tietosuojavastaava raportoi suoraan organisaation ylimmälle johdolle sekä osallistuu riittävän varhain ja korkealla tasolla organisaatiossa käynnistyviin asiakaspalveluprosessien suunnitteluja kehittämistehtäviin. MITÄ nämä seuranta- ja raportointitehtävät ovat? MITÄ dokumentoidaan? 2015 EPSHP - Johanna Sorvettula 5 Kuntalain uudet määräykset, voimaan 1.1.2014 Valtuuston tulee päättää kunnan ja kuntakonsernin sisäisen valvonnan ja riskienhallinnan perusteista (13 ) Valtuuston tulee hyväksyä hallintosääntö, jossa on tarpeelliset määräykset hallinnon ja talouden tarkastuksesta sekä sisäisestä valvonnasta ja riskienhallinnasta (50 ) Toimintakertomuksessa tulee antaa tietoja olennaisista kunnan ja kuntakonsernin talouteen liittyvistä asioista, joista ei ole annettu muutoin tietoa taseessa, tuloslaskelmassa tai rahoituslaskelmassa. Tällaisia asioita ovat ainakin arvio todennäköisestä tulevasta kehityksestä sekä tiedot sisäisen valvonnan ja riskienhallinnan järjestämisestä ja keskeisistä johtopäätöksistä (69 ) Tilintarkastajan on tarkastettava, onko kunnan ja kuntakonsernin sisäinen valvonta ja riskienhallinta sekä konsernivalvonta järjestetty asianmukaisesti (73 ) 6 2015 EPSHP - Johanna Sorvettula 3
Sisäisen valvonnan soveltamisala ja käsitteistö Sisäisen valvonnan ja riskienhallinnan perusteiden tavoitteena on vahvistaa ja yhdenmukaistaa kuntayhtymän ja -konsernin hyvää hallintoa ja johtamista, ja ne koskevat kaikkia kuntakonsernin toimielimiä ja tilivelvollisia viranhaltijoita sekä kaikkea kuntakonsernin toimintaa. Sisäisellä valvonnalla tarkoitetaan sitä osaa johtamisesta, jolla tunnistetaan, ennaltaehkäistään ja hallitaan riskejä. Sisäisen valvonnan tavoitteena on varmistaa, että toiminta on tehokasta ja tuloksellista ja että tuotettava informaatio on luotettavaa. Lisäksi tarkoituksena on varmistaa, että toiminnassa noudatetaan lakeja, sopimuksia, sääntöjä ja ohjeita. Tavoitteena kohtuullinen varmuus 2015 EPSHP - Johanna Sorvettula 7 Sisäinen valvonta ja siihen sisältyvä riskienhallinta Hyvän johtamis- ja hallintojärjestelmän tavoitteet Johtamisjärjestelmän keskeinen tavoite on saada konsernijohdolle ja tilivelvollisille toimijoille riittävä varmuus: 1. toiminnan vaikuttavuudesta ja taloudellisuudesta 2. toiminnan lainmukaisuudesta ja hyvän hallintotavan toteutumisesta 3. omaisuuden ja varojen hallinnasta, kestävästä kehityksestä sekä 4. suunnittelun, päätöksenteon sekä arvioinnin perustumisesta vaikutusten ennakkoarviointeihin sekä oikeaan ja riittävään toiminnalliseen ja taloudelliseen tietoon. Lisäksi tavoitteena on ennaltaehkäistä erilaisten vahinkotapahtumien toteutumista, palvelu- ja peruskorjaustarpeiden syventymistä ja hallita niihin liittyviä riskejä. 8 2015 EPSHP - Johanna Sorvettula 4
Sisäisen valvonnan dokumentointi Sisäinen valvonta on osa johtamistehtävää. Sisäinen valvonta kuuluu mukaan lukien riskien hallinta osalta jokaiselle työntekijälle. Sisäinen valvonnan toimenpiteen ja huomiot tulee dokumentoida lain vaatimalla tavalla, läpinäkyvästi ja jatkuvana toimintana. Riski on epävarmuuden vaikutus tavoitteisiin. Vaikutus on poikkeama odotetusta, niin myönteisessä kuin kielteisessä mielessä. Riskienhallinnan toimenpitein varmistetaan muun muassa, että kuntayhtymän johdolla on käytettävissään tarpeellinen ja ajantasainen tieto merkittävistä riskeistä ja sisäisen valvonnan tasosta. Raportointiin kuuluu molemminpuolinen palautteen anto. Selonteko vähintään vuosittain 2015 EPSHP - Johanna Sorvettula 9 Omavalvonta Organisaation omatoiminen laadun varmistaminen siten, että toiminnassa toteutuvat sekä lainsäädännön asettamat vaatimukset että laatusuositusten ja organisaation asettamat vaatimukset ja organisaation hyväksymien ohjeiden noudattaminen. > Toimintasuunnitelmat > Valvonnan painopiste ennakollisuuteen > Omavalvonta jokaisen vastuulla -> avoin oppiva työympäristö 2015 EPSHP - Johanna Sorvettula 10 5
Omavalvontasuunnitelma Sosiaali- ja terveydenhuollon palvelun antajien, apteekkien ja itsenäisten ammatinharjoittajien, Kansaneläkelaitoksen sekä Kanta-välityspalveluiden tuottajien tulee tehdä omavalvontasuunnitelma (Määräys 2/2015,THL/1305/4.09.00/2014). Suunnitelman avulla ylläpidetään ja kehitetään organisaation tietoturvaa ja tietosuojaa. Omavalvontasuunnitelma on kooste tietoturvaan ja tietosuojaan liittyvistä toimenpiteistä. Tarkempi ohjeistus lokivalvontaan, tietojärjestelmien hyödyntämiseen ja käyttämiseen löytyy omavalvontasuunnitemassa mainituista liitteistä. EPSPH suoritti STM:n ohjeiden mukaisen tietoturvan itseauditoinnin liittyessään kansalliseen eresepti-palveluun syksyllä 2012. Liityttäessä Potilastiedon arkistoon suoritettiin THL:n määräysten mukainen organisaation itseauditointi ja välittäjätahon itseauditointi keväällä 2014. Tietoturvasuunnitelma, RACI -malli 2015 EPSHP - Johanna Sorvettula 11 Tietoturva- ja tietosuojapolitiikka Tietoturva- ja tietosuojapolitiikka määrittelee ne periaatteet, vastuut, toimintatavat sekä seurannan ja valvonnan, joita sairaanhoitopiirissä ja sen tuottamina alueellisissa ICT-palveluissa noudatetaan tietoturvan toteuttamisessa ja kehittämisessä. Tietoturva- ja tietosuojapolitiikkaa täydentävät tietoturva- ja tietosuojaperiaatteet ja -käytännöt dokumentti sekä koko henkilökunnalle annetut ohjeet. Tietojenkäsittely tukee sairaanhoitopiirin palvelujen tuottamista. Sairaanhoitopiiri tuottaa tietojärjestelmäpalveluita myös alueen julkisen terveydenhuollon organisaatioille. Tietoaineistot sisältävät potilaisiin, asiakkaisiin, työntekijöihin ja toimintaan liittyvää tietoa, joka on lainsäädännön perusteella suojattava. Tietojenkäsittelyn on oltava mahdollisimman tehokasta, virheetöntä ja varmaa. Tietojenkäsittelyyn liittyy aina inhimillisenä toimintana riskejä, joita minimoidaan mm. ohjeistuksilla, teknisillä ratkaisuilla ja koulutuksella. Vain pieni osa tietoturvariskeistä pystytään välttämään teknisillä ratkaisuilla. Tärkeintä on jokaisen henkilön päivittäisessä tietojen käsittelyssä tekemät ratkaisut ja toimenpiteet, jotka pohjautuvat lainsäädännön ja ohjeiden noudattamiseen. 2015 EPSHP - Johanna Sorvettula 12 6
Henkilökunnalla on oltava ajantasaiset tietoturva- ja tietosuojaohjeet EPSHP:ssä käytettävissä intran kautta, jonne sairaanhoitopiirin kaikki ohjeet ja lomakkeet tallennetaan keskitetysti. Linkit ohjeisiin on koottu intranetiin uusien työntekijöiden perehdytysosioon Kirjallisten ohjeiden lisäksi tietoturva- ja tietosuojaosaamista ylläpidetään säännöllisillä koulutuksilla. Tietoturvan ja tietosuojan vastuutus, organisointi, seuranta ja valvonta määritetään EPSHP tietoturva- ja tietosuojapolitiikassa. Varmennekortin saamista varten on laadittava korttihakemus sekä työntekijän on opiskeltava Kanta.fi sivujen koulutusmateriaali ja esitettävä hyväksytty tietoturvakoulutuksen todistus. 2015 EPSHP - Johanna Sorvettula 13 Tietosuojavastaavien alueellinen työryhmä Yhteinen potilastietojärjestelmä EP-POTTI Yhtenäinen ohjeistus ja toimintaperiaatteet Silti erilliset rekisterit ja rekisterinpitäjän velvoitteet! Haipro Menettelyt virhe- ja ongelmatilanteissa Tietoturva- ja tietosuojaperiaatteet ja käytännöt dokumentissa. 2015 EPSHP - Johanna Sorvettula 14 7
Lokitietojen valvonta Potilastietorekisterin käyttäjälokitietojen valvontasuunnitelma -ohjeessa on kuvattu toimintamalli ja seuraamukset havaittaessa lainvastaista asiakas- tai potilastietojen käsittelyä. Yksityiskohtainen toimintamalli lokivalvonnan toteuttamiseen on kuvattu salassa pidettävässä vuosisuunnitelmassa. EP-Potti yhteiset periaatteet, erillinen valvonta Tietosuojavastaavan ohjaus ja valvonta sekä raportointi 2015 EPSHP - Johanna Sorvettula 15 Hoitosuhteen automaattisen valvonnan osapuolia Ydinjärjestelmä Ydinjärjestelmä sisältää yleensä potilaan hoitoprosessiin liittyvät potilashallinnon merkinnät. Potilashallinnon tapahtumalaji-tiedon avulla kuvataan, minkä tyyppinen kirjaus todentaa hoitosuhdetta (THL:n koodistopalvelu). Hoitosuhteen todentamiseen tarvittavat muut tiedot Erillisjärjestelmästä/valvottavasta järjestelmästä tarvittavat tiedot Erillisjärjestelmä sisältää potilaan hoidon kannalta oleellisia potilastietoja ja sitä käytetään usein erillisenä ohjelmana poiketen muusta ydinjärjestelmästä. Käytön/luovutuksen ajankohta, käyttäjän tunnistaminen Käyttäjät Potilastietojärjestelmässä voidaan potilastietojen käyttöä rajata tai sallia esim. käyttäjän oikeuksilla ja/tai rooleilla. Oikeuksissa voidaan huomioida myös käyttäjän työskentely eri palveluyksiköissä. Henkilön tunnistamien, työyksikkö(t), tehtävä 2015 Tuula Ristimäki 16 8
Automatisoitu lokivalvonta Automatisoidun lokivalvonnan avulla käsitellään yllä olevista järjestelmistä koottua tietosisältöä, joka analysoidaan sovitun säännöstön mukaisesti siten että jälkikäteislokivalvontaa voidaan toteuttaa riittävällä(/järkevällä) tasolla. Valvonnan päättelysääntöjä koottiin matriisiin Asiayhteyden synty- ja todentamistilanteita Lokeista koottavat tiedot Hoitosuhteen valvontaan tarvittavat tiedot Suurten tietomassojen analyysi Raportissa kuvataan hoitosuhteen valvontaan tarvittavia tietosisältöjä eli asiayhteyden todentamiseen tarvittavia tietoja ja tiedot hoitosuhteen osapuolista. 2015 Tuula Ristimäki 17 Potilaan tekemä valvonta EPSHP:ssä Muu valvonta Potilastietorekisterin käyttäjälokitietojen tietopyyntö Selvityspyyntö potilastietojen käsittelystä Omakanta ja Kanta-arkiston lokitietopyynnöt 2015 EPSHP - Johanna Sorvettula 18 9
Miten tietoa kerätään? Katselmus Otanta Kävely Järjestelmät, kuten HaiPro ja lokivalvonta Havainnointi Ilmoitukset Sisäinen auditointi Ulkoinen auditointi Yllätyksellisyys - Suunnitelmallisuus 2015 EPSHP - Johanna Sorvettula 19 Sisäinen raportointi Miten raportoidaan? Tietotilinpäätös sisältää seurannan ja raportoinnin Tietoturva ja tietosuojatyön pääpainoalueet vuonna 2015 Sisäisen valvonnan raportti Raportit Kokousmuistiot ja pöytäkirjat Ilmoitukset johtajaylilääkärille Ilmoitukset tietosuojavastaavalle, turvallisuuspäällikölle Läheltä piti ilmoitukset HaiProssa Kanta/Kela eresepti Itseauditoinnit Muut auditoinnit 2015 EPSHP - Johanna Sorvettula 20 10
Seuranta ja raportointi Myös tietosuojavastaavan oikeusturva KIITOS! 2015 EPSHP - Johanna Sorvettula 21 11