Hyvä tietosuojakäytäntö 19.10.2015 Tampere
Mediasta lainattua Jos vaikka 14-vuotias vetää koko verbaalisen mattonsa tyhjäksi julkisesti nettiin ja uhrille aiheutuu henkistä kärsimystä, miten voidaan miettiä vain jotain jälki-istuntoa ja Wilma-viestejä, kun kyseessä on törkeä kunnianloukkaus. Salakuvaaminen kännykkäkameroilla kouluissa on yleistyvä ongelma, jonka uhreiksi joutuvat toisinaan myös opettajat. Usein kuviin liitetään herjaava teksti, ja niitä levitetään yhdessä ympäriinsä sosiaalisessa mediassa. lähde: http://m.iltalehti.fi/uutiset/2015011919045889_uu.shtml
Oppilaat urkkivat opettajan salasanan IL 25.11.2011
yle.fi
Tietoturva ja tietosuoja Kansainvälistä ja yksilön perusoikeus Luottamuksellista asiakassuhdetta tukeva kokonaisuus Välineriippumatonta Varsinkin hyvinvointipalveluissa pitkään tunnistettuja asioita Oikeusturvaa asiakkaalle sekä työntekijöille Sähköisissä järjestelmissä vahingon torjunta on halvempaa kuin vahingon korjaaminen
Tietosuojavastaava Tietosuojavastaavan rooli ja tehtävät perustuvat lakiin: - laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007) - laki sähköisestä lääkemääräyksestä (61/2007) Edellytys on, että jokainen sosiaali- ja terveydenhuollon palvelujen antaja ja mm. apteekki sekä Kansaneläkelaitos nimeävät tietosuojavastaavan Asiaan on valmisteluja myös laajemmin Eun yleisen tietosuoja-asetuksen osalta (tietosuojavastaavan rooli tullee olemaan vaatimuksena muuallakin kuin sosiaali- ja terveydenhuollossa) Luennoitsijan toive: Pitäisi saada yhteinen tietosuojavastaavien toimintamalli koko Suomeen ja tietopankki materiaaleille sekä usein kysytyille kysymyksille. Koordinaatio valvontaviranomaisiin prosessina selkeä eikä niin, että kaikki kysyy kaikkea eri paikoista (=Tietosuojavaltuutetun toimisto, THL, AVIT, STM, VM, VALVIRA jne.)
Kansalaiset ovat valveutuneita Ihmiset tuntevat oikeutensa ja pyytävät tarkastusoikeuden pohjalta omien/ alaikäisten huollettavien tietojen tarkistamista ja sen jälkeen myös korjaamista/poistamista Kuolleiden asiakkaiden elinaikaisia asiakirjoja pyydetään enenevästi Alaikäisten lasten asiakastietoja pyydetään esim. huoltajuusriitoihin liittyen Käyttölokiselvitykset ovat lisääntyneet (=kuka tietojani katselee ja miksi?) Potilasasiamiehelle ja sosiaaliasiamiehille sekä tietosuojavastaavalle tulee erittäin runsaasti kysymyksiä Selvityspyyntöjä, kanteluita ja kysymyksiä esitetään suoraan esim. rekisterinpitäjälle, tietosuojavaltuutetulle, poliisille sekä Valviraan ja aluehallintovirastoon Työntekijätkin ovat itse useassa roolissa; välillä ammattilainen, välillä asiakas ja tietojensa pyytäjä, välillä huoltaja. Roolit eivät saa sekoittua
Tietosuojatyö Tietosuoja-asioiden tärkeys pitää ymmärtää ja olla osana työyhteisön jokapäiväistä arkea Ne pitää organisoida johdon toimesta ja hoitaa sekä jalkauttaa prosessinomaisesti ei projektinomaisesti! Ne ovat osa professiota, ja se pitää hyväksyä Jokainen meistä vastaa omalta osaltaan korkeasta tietosuojatasosta Pitää muistaa perehdyttää uudet työntekijät ja harjoittelijat Tietojen käyttöä pitää valvoa. Luvaton käyttö on rikos!
JOHDON VELVOITTEET JA VASTUU (tietosuojatyön organisoinnissa) Nykytilan kartoitus Rekisterihallinnon järjestäminen Kirjalliset politiikat, periaatteet ja ohjeet Riittävät resurssit Tietosuojavastaavan nimeäminen ja tehtävien ja aseman määrittely Tietosuojaryhmän perustaminen ja tehtävien määrittely Riskienhallinta Riskien tunnistaminen ja luokittelu Riskianalyysit Toimintaohjeet riskien toteutuessa Seuraamuskäytännöt tietosuojarikkomuksissa Tietosuojattavan jätteen hävitysprosessin järjestäminen Omavalvontasuunnitelma Tietotilinpäätös
Salassapito Salassapito sekä tietojen ja tietojärjestelmien käyttö perustuvat lainsäädäntöön sekä normiohjaukseen Salassapidolla tarkoitetaan asiakirjojen salaisuuden säilyttämisvelvollisuutta sekä vaitiolovelvollisuutta Salassapitoon kuuluu myös hyväksikäyttökielto Salassapito koskee kaikkia salassa pidettäviä tietoja riippumatta siitä, miten tai mihin ne on tallennettu tai millä tavalla tieto on saatu (kirjallisesti, suullisesti tai havainnoimalla)
Lainsäädäntöä Henkilötietolaki (523/1999) Laki viranomaisten toiminnan julkisuudesta (621/1999) Laki potilaan asemasta ja oikeuksista (785/1992) Sosiaali- ja terveysministeriön asetus potilasasiakirjoista (298/2009) Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista (812/2000) Sosiaalihuoltolaki (1301/2014) Laki sosiaalihuollon asiakasasiakirjoista (254/2015) Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007) Oppilas ja opiskelijahuoltolaki (1287/2013) Laki työllistymistä edistävästä monialaisesta yhteispalvelusta (1369/2014)
Ohjeet ja määräykset Voimassaolevan lainsäädännön lisäksi työntekijöitä velvoittavat oman organisaation määräykset Esim. Tampereen kaupungilla on useita ohjeita, suunnitelmia, määräyksiä ja päätöksiä, jotka liittyvät erityisesti tietoturvaan/tietosuojaan/henkilötietojen käsittelyyn: Tietoturvapolitiikka, Henkilöstön tietoturvaopas, Potilastiedon käsittely, Sosiaalihuollon asiakastiedon käsittely, Työntekijöiden terveydentilatietojen käsittely, Sähköpostisäännöt, Etätyö, Mobiilipolitiikka, Omavalvontasuunnitelma, tietotilinpäätös jne. Sopimuksissa velvoitetaan myös ostopalvelutuottajia noudattamaan kaupungin antamia ohjeita ja määräyksiä ja sopimusliitteitä kuten Asiakastietojen käsittely ja tietosuoja Kaupungilla käytössä tietoturvan ja tietosuojan verkkokurssit ja sähköinen salassapitositoumus
Tietojen käyttötarkoitus, suojaus ja luovutus Henkilötietolain 7 :n mukaan rekisteröityä koskevia tietoja saa käyttää vain siihen tarkoitukseen, johon ne on kerätty (käyttötarkoitussidonnaisuus). Kunnan eri henkilörekistereitä voi olla teknisesti samassa tietojärjestelmässä, mutta jokaisen niistä tulee muodostaa oma erillinen ja erikseen käytettävä kokonaisuutensa. Vaikka toiminnasta vastaava rekisterinpitäjä olisi kaikkien rekistereiden osalta sama, tietoja ei kuitenkaan voida eri rekisterien välillä vapaasti siirtää, sillä kutakin rekisteriä voidaan käyttää vain siihen tarkoitukseen, jota varten tiedot on kerätty ja talletettu. Esim. Tampereen kaupungin rekisteriselosteet (tietosuojaselosteet) on koottu nettiin www.tampere.fi/tietosuojaselosteet
Henkilötietolain 32 :n 1 mom. (suojaamisvelvoitteen) mukaisesti rekisterinpitäjän tulee toteuttaa: - tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. - Henkilörekisteritietojen luovutuksella tarkoitetaan tietojen esim. asiakirjan antamista sivulliselle sen käytettäväksi. Käytännössä tämä tarkoittaa useinmiten viranomaistoiminnassa rekisterinpitäjien välistä tietojen luovuttamista. - Salassa pidettäviä asiakastietoja luovutettaessa tulee varmistaa, että luovutukselle on peruste eli joko asiakkaan tai hänen laillisen edustajansa nimenomainen suostumus tai tiedon antamisesta tai oikeudesta tiedon saamiseen on erikseen laissa säädetty
Koulumaailma vs. tietosuoja Salassa pidettävien tietojen osalta varsinkin tietojen luovutuksissa on oltava tarkkana: Luovuttaja vastaa sen varmistamisesta, että luovutuksen saajalla on oikeus tietoihin (ja missä laajuudessa) Onko tietojen pyytäjä esim. alaikäisen laillinen edustaja? Onko tietojen luovuttamiseen oppilaan/opiskelijan nimenomainen suostumus tai onko tiedon antamisesta tai oikeudesta tiedon saamiseen erikseen laissa säädetty? Turvakiellon alaiset yhteystiedot (viranomainen saa käsitellä kun se on välttämätöntä sivullisille ei saa luovuttaa) Erityisen tarkkana pitää olla, jos tietoja kysellään puhelimitse ja alkaa haistamaan palaneen käryä!
Lokitiedot ja käytönvalvonta Sosiaalihuollon asiakastietojen ja terveydenhuollon potilastietojen käytön valvominen on lakisääteistä Tietojärjestelmien pitää tallentaa tietojen käsittelyhistoriaa eli kerätä lokia erilaisista tapahtumista Lokeja on eri tyyppejä kuten käyttöloki ja luovutusloki Asiakkaalla ja potilaalla on oikeus ko. lokitietoihin Valvonnan pitää olla suunniteltua ja mahdolliseen luvattomaan käyttöön tulee puuttua! Lisätietoa Tietosuojavaltuutetun toimiston nettisivuilta http://www.tietosuoja.fi/60282.htm
Mistä saa lisätietoja? Tietosuojavaltuutetun toimiston ohjeet www.tietosuoja.fi Paljon sote-palveluihin liittyviä oppaita ja ratkaisuja Paljon myös erityisesti koulumaailmaan liittyviä esim. http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuoj avaltuutetuntoimisto/oppaat/6jfq7u6ez/oppilaiden_henkilotietojen_kasitt ely_kodin_ja_koulun_yhteistyossa.pdf Sosiaali- ja terveysministeriön nettisivut www.stm.fi Potilasasiakirjaopas http://www.julkari.fi/handle/10024/112073 Lainsäädäntö www.finlex.fi Verkkosivusto OpiTietosuojaa.fi https://opitietosuojaa.fi Kirjallisuus: esim. Tietosuoja terveydenhuollossa (Tietosanoma Oy, 2012), Tietosuojavastaavan käsikirjat 1-2 (Tietosanoma, 2014), Tietosuojakäsikirja johdolle (Tietosanoma 2015)
Tietoturva ja tietosuoja 1. Selvitä ja noudata oman organisaatiosi tietoturvaohjeita ja käytäntöjä. 2. Lukitse tietokoneesi/ohjelmistot tai kirjaudu niistä ulos aina kun poistut sen läheisyydestä. Pyri käyttämään eri salasanaa eri järjestelmissä. Säilytä salasanat ja muut kirjautumisessa käytettävät tunnisteet, kuten toimikorttisi ja PIN-koodit huolellisesti. 3. Varo paljastamasta luottamuksellisia tietoja sivullisille työpaikalla tai sen ulkopuolella esim. sosiaalisessa mediassa. 4. Älä surffaa arveluttavilla nettisivuilla. Älä avaa outoja sähköpostiviestejä tai niiden liitteitä. 5. Huolehdi papereiden, muistitikkujen, CD-/DVD-levyjen, puhelinten, salasanojen, avainten, kulkunappien, toimikorttien ym. asianmukaisesta käsittelystä ja säilyttämisestä. 6. Hävitä tietosuojattava jäte asianmukaisesti. 7. Huolehdi erityisesti mobiilityössä kannettavan tietokoneen ja sen tietojen suojaamisesta. Hanki kannettavaan tietokoneeseen suojakalvo, joka estää sivulta tapahtuvan salakatselun. Älä jätä laitteita valvomatta näkyville esimerkiksi autoon tai hotelliin. 8. Muista kunnioittaa asiakkaiden ja työkavereiden yksityisyyttä. Näin ylläpidät luottamusta. 9. Kerro esimiehellesi, mikäli havaitset tietoturva- tai tietosuojarikkomuksia. 10. Älä hätäänny, jos jotain poikkeavaa tapahtuu. Soita rohkeasti tukikeskukseen.
Kiitos!