Tulostusversio

4/2011

Terveydenhuolto: Hankintaketju haastaa tietosuojan

Teksti: Kirsi Castrén

Miten potilaan tietosuojan toteutumista valvotaan, kun kunnat ja työpaikat ostavat terveydenhuollon palveluja ulkopuolisilta tuottajilta?

Kun kunta ostaa terveydenhuoltopalveluja yritykseltä, se on toimeksiantaja ja yritys palveluntuottaja. Vastuu potilastiedoista säilyy rekisterinpitäjällä eli tässä esimerkissä kunnalla.

Rekisterinpitäjän vastuista huolehtiminen ei ole mutkatonta.

Toimeksiantajan on esimerkiksi usein vaikea valvoa sitä, käsittelevätkö palveluntuottajan työntekijät toimeksiantajan potilastietorekisteriä asianmukaisesti, sillä toimeksiantajalla ei ole pääsyä lokitietoihin.

Toimeksiantajalla ei myöskään ole työnjohto-oikeutta palveluntuottajan työntekijöihin, joten työntekijöiden ohjeistaminen on palveluntuottajan vastuulla.

Joissakin kunnissa, esimerkiksi Tampereella, tilanne on ratkaistu siten, että palveluntuottajat käyttävät kunnan potilastietojärjestelmää vahvasti salatun yhteyden kautta. Näin kunta voi huolehtia myös ostopalvelupotilaidensa tietojen lokivalvonnasta.

Tampereen kaupungin terveydenhuoltokonsernin tietosuojavastaava Ari Andreasson kertoo, että Tampere velvoittaa silti sopimuksissa tuottajia valvomaan tietojen käyttöä ja ilmoittamaan mahdolliset tietosuoja- ja tietoturvapoikkeamat.

”Tietosuojarikkomusten pois kitkeminen on palvelun tilaajan ja tuottajan yhteinen etu.”

Tietosuojakysymyksistä keskustellaan hänen mukaansa aiempaa avoimemmin.

"Ennen saattoi olla enemmän sellaista asennetta, että ’tehän olette tuttu yritys, kyllähän me teihin nyt luotetaan’. Nykyään tietosuoja-asioita otetaan enemmän esille ja kyseenalaistetaan."

Sopimus voi olla lakia tiukempi

Terveydenhuollon lainsäädäntö määrittelee potilasasiakirjat salassa pidettäviksi niin julkisella kuin yksityiselläkin sektorilla.

Tampereen kaupungin palveluntuottajiensa kanssa tekemät käyttö- ja salassapitosopimukset säätelevät paitsi vaitioloa, myös tietojärjestelmien käyttöä.

"Sopimuksessa voidaan määritellä esimerkiksi, että salassa pidettävän tiedon tulostukseen ei käytetä verkkotulostimia tai suojaamattomalla sähköpostilla ei välitetä potilastietoa", Andreasson sanoo.   

Turhat käyttäjätunnukset pois

Tietosuoja-asiat käydään Tampereella läpi osana ostopalvelutyöntekijöiden potilasjärjestelmäkoulutusta, jonka läpäisy on, käyttö- ja salassapitosopimuksen allekirjoittamisen ohella, järjestelmän käyttäjätunnusten saannin ehto.

Jatkuvana kehittämisen paikkana ostopalvelujen tietosuojassa Andreasson näkee käyttäjätunnusten hallinnan. 

"Käyttämättömät tunnukset tulisi sulkea viipymättä. Sopimuksiimme on kirjattu, että työnantajan on välittömästi ilmoitettava meille, mikäli käyttäjän työsuhde katkeaa. Tämän toteutumisen valvonta on kuitenkin vaikeaa."

Toimeksiantajan tietoja ei saa käyttää bisnekseen

Kun ostopalvelusopimus päättyy, palveluntuottajan on palautettava tai hävitettävä toimeksiantajan potilasrekisteri. Asiakastietolain mukaan palveluntuottaja saa kuitenkin säilyttää kopion siitä, jos se on tarpeen toiminnan seurantaa ja laadunvalvontaa varten. Liiketoiminnassa tietoja ei silti saa käyttää.

Hankalia tilanteita saattaa syntyä, kun aiemmin ostopalveluna hoidettu potilas tulee myöhemmin yksityisvastaanotolle. Vaikka potilas antaisikin suostumuksensa tietojen käyttöön, eivät ostopalvelusopimukset välttämättä salli sitä.

Esimerkiksi Tampereen kaltaisessa tilanteessa, jossa palveluntuottajalla on yhteys kunnan tietojärjestelmään, järjestelmän käytön muussa kuin toimeksiannossa määritellyssä tarkoituksessa estävät jo lisenssisyyt. 

Tilannetta helpottaa tulevaisuudessa kansallinen sähköisen potilastiedon arkisto (eArkisto), johon on koottu sekä yksityisen että julkisen sektorin potilastiedot. 

"Jos potilas on antanut suostumuksensa eArkiston käyttöön, yksityislääkäri voi hakea hoitosuhteen niin edellyttäessä hänen tietonsa sieltä", vahvistaa kehittämispäällikkö Maritta Korhonen Terveyden ja hyvinvoinnin laitokselta.

Hankala suostumuksenhallinta

Terveydenhuollon lainsäädäntö on murrosvaiheessa. Toimeksiantajille ja palveluntuottajille päänvaivaa aiheuttaa esimerkiksi se, että voimassa olevissa laeissa säädetään eri tavoin potilaan suostumuksen pyytämisestä potilastietojen luovuttamiseen.

Potilaslain mukaan tietoja voi luovuttaa yksiköstä toiseen vain, jos potilas antaa siihen luvan. Viime toukokuussa voimaan tulleen terveydenhuoltolain mukaan sairaanhoitopiirin sisällä tietoja voi luovuttaa, ellei potilas sitä kiellä. Lähivuosina valmistuvaa eArkistoa säätelee asiakastietolaki, jossa on omat määräyksensä suostumuksenhallinnasta.

"On vaikea sanoa, kuinka asiakkaat ja työntekijät ymmärtävät eri lainsäädäntöjen vaatimukset ja kuinka järjestelmäntoimittajat osaavat tehdä ohjelmistonsa siten, että kielto- ja suostumuksenhallinnan kaikki eri variaatiot pystytään hallinnoimaan teknisesti", Ari Andreasson pohtii. 

Tilanne tiedetään Terveyden ja hyvinvoinnin laitoksella, joka vastaa terveydenhuollon asiakastiedon sähköisen käsittelyn suunnittelusta ja ohjauksesta.

"Palautetta lainsäädännön tulkinnan hankaluudesta on tullut etenkin julkisten organisaatioiden tietosuojavastaavilta ja juristeilta", Maritta Korhonen kertoo.

"Samaan aikaan kuin lait muuttuvat, ollaan ottamassa käyttöön kansallisia palveluita, eArkistoa ja reseptitietokeskusta. Lakien toteuttaminen käytännössä edellyttää muutoksia myös paikallisissa ja alueellisissa järjestelmissä.”

Lue myös

Terveydenhuolto: Palveluntuottaja puun ja kuoren välissä »
Terveydenhuolto: Ostopalvelun tarkistuslista »
Terveydenhuolto: E-arkistossa rekisterien rajat joustavat »
Anna palautetta

Kommentit (0 kpl)

Ei kommentteja.

 

Kommentoi








Kyllä


* = Pakollinen tieto

Uutiset

•  = artikkeli on luettavissa vain netissä

 

 

tietosuoja_logo_2013.gif

 

 

 

Vastaava toimittaja
Hanna Tamminen


 


 

 

 

 

Julkaisijat
Tietosuojalautakunta
Tietosuojavaltuutetun toimisto
Viestintävirasto
Patentti- ja rekisterihallitus



 

 

 

 

 

 

 

Rekisteriselosteet »

Tietoa evästeistä »

 

 

 

Tietosuoja-verkkojulkaisua julkaistaan Tietosuoja-lehden yhteydessä. Yhdessä lehti ja verkkojulkaisu tutustuttavat tietosuojan normeihin ja käytäntöön, tietoturvaan ja viestinnän luottamuksellisuuteen. Tarkoituksena on ohjata hyvään rekisterinpitoon sekä tietoturvallisuuden ja viestinnän luottamuksellisuuden varmistamiseen.