Aihe: Elektronisten potilastietojen käsittelyä koskevat määräykset Suomessa
Toivon, että EFFI alkaisi ajamaan tätä asiaa (jos ei tee jo?) eteenpäin jotta joskus tulevaisuudessa voisimme varmistua, että tietoturva-asiat on otettu riittävällä tasolla huomioon tässä asiassa ja yksityisyydensuoja säilyy myös näissä asioissa.
Keskustelun aiheena siis elektronisten potilastietojen käsittelyä koskevat käytännöt ja säännöt. Kuten tiedämme, Suomessa on monenlaista terveydenhuoltoalan instanssia ja yritystä, jonka työntekijät käsittelevät kansalaisten potilastietoja ja sairaushistorioita. Onko tämä ihan villiä tällä hetkellä Suomessa vai onko asiasta säädetty riittävät lait jotta kuka tahansa terveydenhoitoalalla oleva palkollinen ei voi potilastietoja katsella? Jos olet esimerkiksi kesätöissä Terverydenhuoltoalan firma X:n ajanvarauksessa, onko sinulla pääsy firman asiakkaiden potilastietoihin? Tai jos olet sairaanhoitaja kyseisessä firmassa? Tai miksei jopa lääkäri? Millä tavoin voimme varmistua siitä, että potilastietoja katsoo vain oikea henkilö?
Oma ehdotus on tämä. Säädetään laki, joka koskee elektronisten potilastietojen käsittelyä. Tehdään vaatimus, että tietojärjestelmän on tallennettava logiin ajankohta milloin potilastiedot on haettu tietokannasta ja kuka on ollut hakijana. Tämän lisäksi vielä tietojen hakija olisi pakotettu syöttämään muutaman sanan/rivin selitys miksi tiedot oli haettu. Uskoisin, että tällöin saisimme kitkettyä väärinkäytöksiä tehokkaasti. Nyt esim. pienellä kunnalla terveydenhoitoalan työntekijällä saattaa olla liian suuri kiusaus hakea jonkun kuntalaisen tiedot ihan vain uteliaisuuttaan.
Mitä mieltä olette? Viesti oli tarkoitettu lähinnä EFFIlle, joka ajaa meidän oikeuksia näissä sähköisissä asioissa, mutta kirjoitin sen tänne, koska olisi hyvä saada yleisempääkin keskustelua aiheesta.
Toivon, että EFFI alkaisi ajamaan tätä asiaa (jos ei tee jo?) eteenpäin jotta joskus tulevaisuudessa voisimme varmistua, että tietoturva-asiat on otettu riittävällä tasolla huomioon tässä asiassa ja yksityisyydensuoja säilyy myös näissä asioissa.
Keskustelun aiheena siis elektronisten potilastietojen käsittelyä koskevat käytännöt ja säännöt. Kuten tiedämme, Suomessa on monenlaista terveydenhuoltoalan instanssia ja yritystä, jonka työntekijät käsittelevät kansalaisten potilastietoja ja sairaushistorioita. Onko tämä ihan villiä tällä hetkellä Suomessa vai onko asiasta säädetty riittävät lait jotta kuka tahansa terveydenhoitoalalla oleva palkollinen ei voi potilastietoja katsella? Jos olet esimerkiksi kesätöissä Terverydenhuoltoalan firma X:n ajanvarauksessa, onko sinulla pääsy firman asiakkaiden potilastietoihin? Tai jos olet sairaanhoitaja kyseisessä firmassa? Tai miksei jopa lääkäri? Millä tavoin voimme varmistua siitä, että potilastietoja katsoo vain oikea henkilö?
Oma ehdotus on tämä. Säädetään laki, joka koskee elektronisten potilastietojen käsittelyä. Tehdään vaatimus, että tietojärjestelmän on tallennettava logiin ajankohta milloin potilastiedot on haettu tietokannasta ja kuka on ollut hakijana. Tämän lisäksi vielä tietojen hakija olisi pakotettu syöttämään muutaman sanan/rivin selitys miksi tiedot oli haettu. Uskoisin, että tällöin saisimme kitkettyä väärinkäytöksiä tehokkaasti. Nyt esim. pienellä kunnalla terveydenhoitoalan työntekijällä saattaa olla liian suuri kiusaus hakea jonkun kuntalaisen tiedot ihan vain uteliaisuuttaan.
Mitä mieltä olette? Viesti oli tarkoitettu lähinnä EFFIlle, joka ajaa meidän oikeuksia näissä sähköisissä asioissa, mutta kirjoitin sen tänne, koska olisi hyvä saada yleisempääkin keskustelua aiheesta.
Vastaukset 6
Vanhimmat
Asiakkaalla olisi myös oikeus pyydettäessä saada logitiedot esille jolloin hän saisi listan päivämääristä milloin hänen "potilaskansio" on haettu esille, kuka tiedostoa on katsellut ja mikä on ollut selityksenä miksi tietoja on katseltu silloin.
En kerro mistä olen tietoni saanut ja miten. Mutta usein olen havainnut että henkilökunnalla on törkeän välinpitämätön asenne potilaiden yksityisyyttä kohtaan. Myös monissa järjestelmissä on kiertoteitä joilla tietoja voi katsoa, ilman että asianmukaisia merkintöjä syntyy.
Henkilökunta myöntää suoraan katsovansa esim mahdollisen tyttären / poikaystävänsä tiedot rekistereistä. Oli sitten rekisterinä mikä vaan viranomaisrekisteri. En lähde niitä erittelemään mistä kaikkialta tietoja on saatu luvattomasti kalastettua, mutta se on ollut yllättävän helppoa.
Monissa tapauksissa on myös teknisiä kiertoteitä, joita ei välttämättä loppukäyttäjä tiedosta, mutta pätevämpi hyökkääjä voi tiedostaa.
A) Mahdollista katsoa tietoja ilman merkintöjä
B) Kopioida suuriakin tietomääriä ilman em. merkintöjä
Mielestäni nuo ovat hyvin huolestuttavia asioita.
Liittyy myös tähän:
http://keskustelu.suomi24.fi/show.fcgi?category=121&conference=4500000000000036&posting=22000000043135543
Tuossa tapauksessa kyse on vain asiakkaiden rahankäyttöön epäsuorasti liittyvistä asioita. Joskus jopa laskutus / tili tiedoista. Mutta ketään ei oikeasti kiinnosta, joten? Turha moisesta on puhua.
Henkilökohtaisesti kuulunkin tietoturvan foliosakkiin ja siksi olen näistä asioista aikaisemminkin kirjoittanut. Mutta minun on annettu ymmärtää, että olisi parempi olla hiljaa.
T: Anonyymio
...Oma ehdotus on tämä. Säädetään laki, joka koskee elektronisten potilastietojen käsittelyä...
Ei sitä enää tarvitse säätää, kun se on jo säädetty.
http://www.finlex.fi/fi/laki/ajantasa/2007/20070159
Nuo kaikki kysymäsi/ehdottamasi asiat ovat jo tuohon lakiin kirjattu. Joten se siitä.
Kappas, kiitokset infosta! Olen positiivisesti yllättynyt, että tämä on otettu jo huomioon.
Potilastiedot on otettu esille, koska ne ovat tapetilla. Mutta mitenkäs ne sadat ja tuhannet rekisterit, jotka eivät ole tapetilla mutta sisältävät aivan vastaavanlaisesti luottamuksellista tietoa. En voi mainita esimerkkejä, mutta kyllä niitä jokaiselle tulee varmasti mieleen kun hetken miettii.
ainakin kolme keskenään yhteensopimatonta tietojärjestelmää (suurimmat toimittajat Tieto ja wm-data). Sitten on vielä Kelan järjestelmät, joissa on päiväraha, eläke- ja reseptiasioita.
Menossa on hanke, jossa pyritään määrittelemään yhteinen potilastietokanta, joka tulisi Kelan ylläpidettäväksi. Kohdista toivomukset tähän viimeiseen. Muut taitavat olla jo sellaista jätettä, että systeemien pystyssä pitämisessä on täysi työ.