Täyttyvätkö uudet tietosuojavaatimukset? Terapiakeskus Terapeija Webinaari, 13.9.2016 Eija Warma, asianajaja, LL.M. (US), CIPP/E Asianajotoimisto Castrén & Snellman Oy 1
Keskeinen lainsäädäntö Tietosuojadirektiivi 95/46/EY! EU:n uusi tietosuoja-asetus 25.5.2018 alkaen (679/2016) Henkilötietolaki (523/1999) Ns. työelämän tietosuojalaki, eli laki yksityisyyden suojasta työelämässä (759/2004) Tietoyhteiskuntakaari (917/2014) Lisäksi säännöksiä yli 650 erityislaissa! Ns. potilaslaki, eli laki potilaan asemasta ja oikeuksista (785/1992) Sosiaali- ja terveysministeriön asetus potilasasiakirjoista (298/2009) Ns. asiakaslaki, eli laki sosiaalihuollon asiakkaan asemasta ja oikeuksista (812/2000) Ns. asiakastietolaki, eli laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007) 3
Keskeiset käsitteet Henkilötieto Kaikenlainen luonnollista henkilöä koskeva tieto, joka voidaan tunnistaa häntä koskevaksi. Rekisterinpitäjä Yksi tai useampi henkilö/yhteisö, jonka käyttöä varten henkilörekisteri on perustettu JA jolla on oikeus määrätä henkilörekisterin käytöstä. vrt. käsittelijä Sosiaali- ja terveydenhuollossa rooleja on välillä hankalaa hahmottaa. Yksityinen ammatinharjoittaja voi olla tiettyjen henkilötietojen osalta rekisterinpitäjä ja tiettyjen osalta käsittelijä (esim. ostopalvelusopimukset). Henkilötietojen käsittely Henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista, jne. Henkilörekisteri Käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuva henkilötietoja sisältävä tietojoukko, jota käsitellään automaattisen tietojen käsittelyn avulla. 4
Terapeutin toiminnassa esiin nousevat käsitteet Arkaluonteiset henkilötiedot Esim. henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia kuvaavat tiedot sekä henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia kuvaavat tiedot. Potilastieto Sosiaalihuollon asiakastieto 5
Henkilötiedon käsittelyn elinkaari asetuksen voimaantulon jälkeen Toimenpiteet ennen käsittelyn aloittamista Toimenpiteet henkilötietojen käsittelyn aikana Toimenpiteet käsittelyn perusteen lakattua Määritä: käsittelyn tarkoitus, käsittelyn kannalta tarpeellinen tieto, tietojen säilyttämis- ja hävittämisajat ja käytännöt Sisäänrakennettu ja oletusarvoinen tietosuoja Määritä riittävät tietoturvatoimet Laadi ohjeistus henkilötietojen käsittelylle ja tarvittavat rekisteriselosteet ja mahdolliset käytännesäännöt Hanki mahdolliset sertifioinnit Tee tarvittaessa vaikutustenarviointi ja nimitä tietosuojavastaava Muista ulkoistaessa kirjallinen tietojenkäsittelysopimus Henkilötietoja kerätessä, informoi rekisteröityjä asetuksessa määritellyn mukaisesti (Huolehdi ilmoitukset viranomaiselle) Yt-menettely Hallinnoi ja ylläpidä tarvittavat suostumukset - Huomioi erityisesti kieltooikeuden käyttö Ylläpidä tietosuojaohjeistukset, rekisteriselosteet, käytännesäännöt ja sertifikaatit - Huolehdi saatavuudesta tietoja kerättäessä Tilintekovelvollisuus - Huolehdi, että voit osoittaa vaatimustenmukaisuuden Hallinnoi luovutuksia - Ylläpidä säännönmukaiset luovutukset - Varmista ad-hoc -luovutusten lainmukaisuus Kansainvälisten tiedonsiirtojen hallinta - Varmista tietojen sijainti - Varmista riittävä tietosuojan taso EU:n ulkopuolisissa maissa (esim. komission mallisopimuslause kkeet, BCR, Safe Harbor) Ylläpidä rekisteröidyn oikeuksia - Tarkastusoikeus - Oikeus vaatia tietojen korjausta /poistoa - Kielto-oikeus - Oikeus siirtää tiedot järjestelmästä toiseen Ylläpidä tietoturvaa ja poista tarpeeton tieto - Pidä tieto ajantasaisena, oikeana ja suojeltuna - Hävitä tarpeettomat tiedot säännöllisesti - Huolehdi ilmoitukset henkilötietojen tietoturvaloukkauksista viranomaiselle ja rekisteröidyille Siirrä tiedot mahdolliselle seuraavalle käsittelijälle Varmista kaikkien henkilötietojen lopullinen hävittäminen Varmista tietojen myöhempi hävitys, jos tietoja on säilytettään pidempään 6
Tietojen käsittelyn lainmukaisuus Henkilötietojen käsittelylle on aina oltava asianmukainen peruste Arkaluonteisten tietojen käsittelykielto käsittely sallittua vain henkilötietolain mukaisilla perusteilla Muutamia esimerkkejä arkaluonteisten tietojen käsittelyn perusteesta: Nimenomainen suostumus Vapaaehtoinen, yksilöity ja tietoinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn Laista johtuva velvoite Rekisteröidyn tai toisen henkilön elintärkeän edun suojaaminen Muut kuin arkaluonteiset tiedot? esim. yhteysvaatimus (kuten asiakas- tai työsuhde) 7
Yleiset periaatteet Huolellisuusvelvoite Henkilötietoja tulee käsitellä laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa rajoiteta ilman laissa säädettyä perustetta. Käsittelyn suunnittelu Henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyprosessit tulee suunnitella ennen henkilötietojen keräämisen aloittamista. Käyttötarkoitussidonnaisuus Henkilötietoja ei saa käyttää ristiriidassa ennalta suunniteltujen käyttötarkoitusten kanssa. 8
Yleiset periaatteet Tarpeellisuusvaatimus Käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia, asianmukaisia ja olennaisia! säilytyksen rajoittaminen Virheettömyysvaatimus Rekisterinpitäjän on huolehdittava siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä. Tietojen suojaamisvelvollisuus Henkilötiedot tulee olla suojattu luvattomalta ja lainvastaiselta käsittelyltä tai paljastumiselta ja vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta ja vahingoittumiselta Tietosuoja-asetus: Osoitusvelvollisuus 9
Muita keskeisiä rekisterinpitäjän velvoitteita Informointivelvollisuus Tietosuoja-asetus laajentaa informointivelvoitetta! rekisteröityjen informointiin tarkoitetut dokumentit on päivitettävä! Velvollisuus laatia ja ylläpitää rekisteriseloste Ero tietosuojaselosteeseen? Ilmoitusvelvollisuus tietosuojavaltuutetulle mm. henkilötietojen käsittelyn ulkoistamisesta Nykyisen kaltainen ilmoitusvelvollisuus poistuu tietosuoja-asetuksen myötä, mutta tilalle tulee esim. velvollisuus ilmoittaa tietosuojavaltuutetulle tietoturvaloukkauksesta 72 tunnin kuluessa sen havaitsemisesta Rekisteröidyn oikeudet: tarkastusoikeus, kielto-oikeus, virheellisen tiedon korjaaminen Tietosuoja-asetus: oikeus tulla unohdetuksi ja oikeus vastustaa henkilötietojen käsittelyä 10
Erilaiset henkilörekisterit Asiakasrekisteri, markkinointirekisteri, potilasrekisteri, sosiaalihuollon asiakasrekisteri jne. Käyttötarkoitus ja käsittelyperuste määrittävät rekistereiden rajoja Mitkä velvoitteet soveltuvat? Millä tavalla? Esimerkkejä: Säilytysaika Tavallinen asiakastieto asiakassuhteen ajan Potilastieto ja sosiaalihuollon asiakastieto säilytysajoista säädetty asetuksella Henkilötietojen luovuttaminen Tavallinen asiakastieto luovutukset mahdollisia tietyissä tilanteissa ilman suostumusta Potilastieto ja sosiaalihuollon asiakastieto lähtökohtana salassapito! Luovutus vain suostumuksella (pl. lain mukaiset poikkeukset, esim. tieteellinen tutkimus) 11
Erityisiä velvoitteita terapeutin toiminnassa Kansallinen potilastiedon arkisto (Kanta) Potilasasiakirjojen ja sosiaalihuollon asiakastietojen sähköinen pitkäaikaissäilyttäminen Muistettava rekisteröityjen informointi, sekä luovutuksia koskevien suostumusten/ kieltojen ylläpito Omavalvontasuunnitelma (asiakastietolaki) Erinomainen väline henkilötietojen käsittelyn suunnitteluun Erotettava rekisteri- ja tietosuojaselosteesta Lokitiedot Asiakastietolain mukainen velvollisuus ylläpitää lokia potilastietojen ja sosiaalihuollon asiakastietojen käsittelystä ja luovutuksista Potilasasiakirjojen luovutuksista merkinnät myös Kantaan Tietosuoja-asetus: tietosuojavastaavan nimittäminen, tietosuojaa koskeva vaikutusten arviointi käsittelytoimien laajamittaisuus? 12
Kertaus mitä tänään opittiin? Keskeinen tietosuojasääntely Keskeiset käsitteet: henkilötieto, henkilörekisteri, rekisterinpitäjä, käsittelijä, arkaluonteinen henkilötieto Henkilötiedon käsittelyn elinkaarimalli Henkilötietojen käsittelyn yleiset periaatteet Rekisterinpitäjän keskeiset velvoitteet Erilaisten henkilörekistereiden tunnistaminen Keskeisiä potilastietoihin ja sosiaalihuollon asiakastietoihin liittyviä erityisiä velvoitteita 13
Tietosuojan toteuttaminen käytännössä seuraavalla koulutuskerralla Mitä dokumentteja tulee valmistella? Rekisteriseloste/tietosuojaseloste Suostumuslomake Omavalvontasuunnitelma Henkilötietojen käsittelyn ulkoistamista koskeva sopimus Asiakkaiden informointi ja oikeudet Miten suunnitella ja toteuttaa lainsäädännön vaatima asiakkaiden informointi? Asiakkaan oikeudet ja niiden toteuttaminen Sosiaalinen media Mitä tulee huomioida, kun hyödynnät somea osana työskentelyä? 14
Seuraava koulutuskerta Webinaari, 27.9.2016, klo 18.00-19.30 Hinta : 67 sis.alv 24% Ilmoittaudu mukaan 26.9. mennessä! http://www.terapeija.fi/koulutus/terapeijanwebinaari-27-9-2016-klo-18-00-19-30-tietosuojantoteuttaminen-kaytannossa/ 15
Kysymyksiä ja keskustelua Potilasdokumenttien säilyttäminen riittääkö skannaaminen järjestelmään? Sähköinen säilyttäminen tulee toteuttaa Kanta-arkistossa vaihtoehtona paperiarkisto Kantaan siirretty asiakirja voidaan pääsääntöisesti hävittää. Tietyn tyyppiset asiakirjat kuitenkin hyvä säilyttää paperimuodossa (esim. sopimukset ja suostumusasiakirjat). Potilastietojen säilyttäminen omalla tietokoneella miten huolehdin tietoturvasta ja esimerkiksi potilaskäyntitekstien hävittämisestä? Huomioitava, että liittyy myös muita velvoitteita kuin tietoturva: Kanta, lokitietojen kerääminen ja lakisääteiset säilytysajat (esim. hoidon toteutukseen ja seurantaan liittyvät merkinnät ja niistä muodostetut asiakirjat tulee säilyttää 12 vuotta potilaan kuolemasta) Tiedot tulee suojata luvattomalta paljastumiselta Jos konetta haluaa käyttää muuhunkin toimintaan, tiedot olisi hyvä tallentaa salasanoin suojatulle ulkoiselle kovalevylle tai pilvipalveluun, ei esim. koneen työpöydälle. Tietojen todellinen hävittäminen voi olla vaikeaa Delete & roskakorin tyhjennys kovalevylle voi kuitenkin jäädä jälkiä! Pilvipalvelun käyttäminen ja potilastiedon käsittelyyn tarkoitetut ohjelmistot (muista ulkoistussopimus), puhdistusohjelmistot 16
Kysymyksiä ja keskustelua Vapaata keskustelua ja kysymyksiä! 17
Kiitos! Eija Warma Counsel, Data Protection & Privacy eija.warma@castren.fi Twitter: @EijaWarma #CastrenPrivacy Asianajotoimisto Castrén & Snellman Oy 18