Soten tietosuojahaasteet
Tein kohta 20 vuotta sitten oikeustieteellisen väitöskirjani henkilötietojen käsittelystä terveydenhuollossa. Suomi liittyi v. 1995 Euroopan unioniin ja samana vuonna voimaan astunut henkilötietodirektiivi pakotti harmonisoimaan silloisen henkilörekisterilain yhteisöoikeuden kanssa. Suomen liittyminen Euroopan neuvoston ihmisoikeussopimukseen velvoitti toisaalta Suomen valtiota ylläpitämään sellaista salassapitovelvoitetta potilaan ja häntä hoitavien henkilöiden välisessä tiedonvaihdossa kuin mitä länsimaisissa demokraattisissa valtioissa edellytetään. Perusoikeusuudistuksen yhteydessä perusoikeuksiin vahvistettiin kuuluvan yksityiselämän suojan (nykyisen perustuslain 10 §), jonka ydinalueeseen osoitin omassa tutkimuksessani kuuluvan hoitosuhteen luottamuksellisuuden.
Terveydenhuollon tietosuoja-asiat ovat jälleen nousseet vahvasti esille, kun perustuslakivaliokunta havaitsi Sipilän hallituksen sote-esityksessä merkittäviä ongelmia terveydenhuollon ja sosiaalitoimen asiakkaan yksityiselämän suojan suhteen. Ongelmat ovat sitä luokkaa, että sosiaali- ja terveysvaliokunnan puheenjohtaja Kristiina Kiuru ehti jo julkisuudessa epäilemään, ettei hallituksen täydennettykään sote-esitys tältä osin täytä perustuslain vaatimuksia. Tästä asiasta valiokunta tuskin kuitenkaan on yksimielinen.
Sosiaali- ja terveysvaliokunta halusi heinäkuun alussa kuulla tietosuoja-asiantuntijoita, mutta valtaosa asiantuntijoista (kuten allekirjoittanutkin) oli viettämässä lomaansa kaukana Arkadianmäen kabineteista. Heinäkuun lopussa kävin lopulta läpi hallituksen sote-vastineen, hallituksen täydennetyn sote-vastineen sekä hallituksen täydennetyn sote-vastineen korjauksen, ja aloin kirjoittaa valiokunnalle lausuntoani soten tietosuojahaasteista. Tosin hallituksen täydennetyn sote-vastineen korjauksen lisäys on tulossa valiokunnalle mediatietojen mukaan vasta 20.8., joten antaessaan lausuntojaan valiokunnalle 17.8.2018 mennessä eivät tietosuoja-asiantuntijat vielä varmasti tiedä, millaisia viime hetken korjauksia Sipilän hallitus valinnanvapauslakiesitykseensä on esittämässä.
Sote-uudistuksen tietohallinto rakentuu keskeisiltä osiltaan ns. valtakunnallisten palvelujen varaan. Käytännössä ajatuksena on, että potilaiden ja asiakkaiden tiedot imuroidaan terveydenhuollon ammattihenkilöiltä ja sosiaalihuollon palvelutuottajilta ensin maakuntien tietojärjestelmiin ja sitten Kelan tai perustettavien sote-yhtiöiden tietokantoihin. Rusinana pullassa on esitetty mahdollisuus näiden tietojen toissijaiseen käyttöön, jossa Terveyden- ja hyvinvoinnin laitos voisi maksua vastaan luovuttaa tietoja niin tutkimusta kuin yritysten tuotekehitystoimintoja varten. Ehdotetussa sote-mallissa valtakunnallisten palvelujen perustana oleva potilastiedon Kanta-arkisto sekä sosiaalihuollon asiakastietoja varten perustettava Kansa-arkisto otetaan itsestään selvyytenä.
Laki sosiaali- ja terveydenhuollon sähköisestä käsittelystä (asiakastietolaki), johon Kanta-arkisto perustuu, säädettiin alun perin vuonna 2007. Silloisessa ajatusmallissa lähtökohtana oli, että terveydenhuollon toimintayksikkö tallentaa potilastiedot kansalliseen arkistoon ja että potilas siirtyessään toisen toimintayksikön potilaaksi antaa luvan katsoa vanhoja tietojaan kansallisesta arkistosta. Näin vältetään tietojen siirtely eri terveydenhuollon toimintayksiköiden välillä, mikä tuntuu sinänsä hyvin järkevälle. Vaikka sosiaali- ja terveysvaliokunta oli jo vuonna 2006 huolissaan potilastietojen luottamuksellisuudesta, ei asiakastietolakia koskaan arvioitu perustuslain kannalta. Lakia on vuoden 2007 jälkeen muutettu 9 kertaan ilman, että yhtään ao. muutoksista olisi viety perustuslakivaliokuntaan. Asiakastietolaki nykymuodossaan onkin kokonaistavoitteiltaan varsin erilainen kuin se säädös, joka v. 2006 valmisteltiin.
Kukin terveydenhuollon toimintayksikkö on oman potilasrekisterinsä rekisterinpitäjä. Kanta-palvelujen rekisterinpitäjänä taas on Kansaneläkelaitos. Rekisterinpitäjän vastuisiin kuuluu huolehtia siitä, ettei kukaan ulkopuolinen pääse tietoihin käsiksi. Potilaan asemasta ja oikeuksista annetussa laissa kielletään antamasta tietoja sellaisille henkilöille, jotka eivät osallistu potilaan hoitoon. Tuohon salassapitoon on kuitenkin säädetty paljon poikkeuksia ja esim. poliisin tiedonsaantioikeus potilastiedoista on Suomessa poikkeuksellisen laaja. Perustuslain 10 §:n turvaaman yksityiselämän suojan kannalta poikkeukset sen ydinalueeseen kuluvasta hoitosuhteen salassapidosta ovat hyvin ongelmallisia ja sote-lakeihin ehdotetaan nyt uusia hyvin laajoja poikkeuksia.
Ongelmia lisää se, että Euroopan unionin yleinen tietosuoja-asetus (GDPR) edellyttää rekisterinpitäjän minimoivan henkilötietojen käsittelyn (eikä suinkaan keräävän kaikki potilastiedot kaikkien tarvitsijoiden käyttöön). Rekisterinpitäjän on GDPR 5 artiklan mukaan jatkuvasti voitava osoittaa, että henkilötietoja käsitellään tietosuojaperiaatteiden mukaisesti (mm. tietojen käyttötarkoitusta kunnioittaen ja huolellisuusvelvoitetta noudattaen). Keskeinen osa rekisterinpitäjän huolellisuusvelvoitetta on arkaluonteisten tietojen käyttöoikeuksien hallinta. Potilastietoja rekisteriinsä vievän terveydenhuollon toimintayksikön on jatkuvasti voitava varmistautua, että vain potilaan hoitoon osallistuvat pääsevät noihin tietoihin. Soten valtakunnallisissa palveluissa tämä on ongelmallista, koska terveydenhuollon toimintayksikkö ei lopulta voi käyttöoikeushallinnallaan määrittää, kuka sen kokoamia henkilötietoja käsittelee. Tilanne on analoginen sen suhteen, että finanssialalla yhden pankin asiakkaan kaikki tili- ja luottotiedot olisivat ilman asiakkaan omaa suostumusta kaikkien Suomen pankkien kaikkien virkailijoiden nähtävillä ja vielä myytävissä kauppaketjuille. Jos näin tapahtuisi, rikkoisivat ao. finanssilaitokset raskaasti eurooppalaisia tietosuojavelvoitteita ja saisivat tuntuvat sanktiot. Sipilän sote-uudistuksessa terveydenhuoltoon ehdotettu vastaava järjestelmä ei sen sijaan tunnu juurikaan huolestuttavan sote-esitystä valmistelleita ministeriöitä.
Nämä tietosuoja-asiat ovat todella tärkeitä asioita jokaisen meidän oman yksityisen suojan kannalta, etteivät ne joudu vääriin käsiin ja niillä aiheutettaisiin vahinkoa. Olisi todella ikävää, jos esimerkiksi terveystietoja joutuisi ulkopuolisten haltuun, jotka voisivat sitten vaikuttaa tulevaisuudessa negatiivisesti esimerkiksi jonkun henkilön työnsaannissa tai ihan missä tahansa hakuprosessissa, vaikka tiedot sinänsä eivät olisi haitallisia hakea ja ottaa jotain työtä vastaan tms.
Nämä eivät kaiken lisäksi ole mitään yksinkertaisia asioita ja soteuudistuksen osalta kiire haittaa varmasti asioiden perusteellista läpikäymistä perusoikeuksien valossa, jolloin näitä tietosuoja-aukkoja voi helposti syntyä ja lait ovat tuskin hyvin valmisteltuja.
Minusta on pöyristyttävää, että esimerkiksi terveystietojani voitaisiin toissijaisesti myydä tietokannoista eteenpäin tutkimusta kuin yritysten tuotekehitystoimintoja varten. Jos niitä joku voisi myydä, se olisin korkeintaan minä itse eikä minun puolestani tietoja rekisteröivä ja käsittelevä viranomainen (THL). Minä en ainakaan antaisi koskaan minkäänlaista suostumusta tähän, jos tietojen myynnistä saatavat tulot ohjautuisivat kaiken lisäksi muulle taholle kuin itselleni.
Ilmoita asiaton viesti
Tietosuojavaltuutetun lausunto samaan asiakokonaisuuteen (STM086:00/2016 JA
STM/4454/2016)
https://tietosuoja.fi/documents/6927448/9371975/La…
—
Hyvin isoja tietosuojaongelmia ja eettisiä kysymyksiä liittyy sote- ja maakuntauudistuksen, genomikeskuslain, genomilain, toisiolain ja uuden sote-tietovarantolupaviranomaisen kokonaisuuteen.
Lasse, mikä Sinusta näille lakikokonaisuuksille olisi oikea säätämisjärjestys ja aikataulu, kun kansallinen tietosuojalainsäädäntökään ei taida olla nyt vielä ajantasalla näitä kysymyksiä arvioimaan?
Katso myös Lausuntopalvelu.fi -palveluun jätetyt lausunnot ”Luonnos hallituksen esitykseksi genomilaiksi. Lausuntopyynnön diaarinumero: STM086:00/2016, STM/4454/2016)
https://www.lausuntopalvelu.fi/FI/Proposal/Partici…
—
Tässä vielä alla ”Toimivaltavaje” 2.8.2018 kolumnista suora lainaus, laatinut tietosuojavaltuutettu Reijo Aarnio:
Tietosuojavaltuutetun toimisto on Euroopan tietosuojaneuvosto EDPB:n jäsen. Vaikka enää on alle kymmenkunta jäsenvaltiota, joissa ei ole saatettu tietosuoja-asetuksen tai -direktiivin edellyttämiä kansallisia lainsäädäntötoimia loppuun, EDPB:n jäseniksi hyväksyttiin kaikki ne tietosuojaviranomaiset, joiden toimivalta on perustunut kumottuun tietosuojadirektiiviin.
Meillä Suomessa on vielä toistaiseksi voimassa henkilötietolaki sekä laki tietosuojalautakunnasta ja -valtuutetusta. Kansainvälisten tehtävien hoitaminen – uusissa muodoissaan – sisältyvät tietosuoja-asetukseen. Tietosuojavaltuutetun lakisääteisenä tehtävänä on huolehtia toimialaansa kuuluvista kansainvälisistä tehtävistä. Näin ollen meidän kuuluisi hoitaa tietosuoja-asetuksen 57 artiklan mukaisia tehtäviä ilman 58 artiklassa säädettyjä kaikkia valtuuksia. Toisin sanottuna tietosuojavaltuutetun asema ja tehtävät on määritelty, mutta toimivalta odottaa kansallista tietosuojalakia.
Mitä tästä toimivaltavajeesta sitten seuraa?
Kun tietosuojavaltuutetulta puuttuu edes osa asetuksen mukaisista tehokkaista korjaavista toimivaltuuksista, oikeuden saaminen hidastuu. Rekisteröityjen asioiden käsittely venyy ja se tulee tapahtumaan kenties kokonaan muiden viranomaisten toimesta. Kauhuskenaarion mukaan tietosuojavaltuutetun rooli olisi ehkä vain esitellä asioita sellaiselle monijäseniselle toimielimelle, jolla ei välttämättä olisi erityistä tietosuojaan liittyvää asiantuntemusta. Tämä on luonnollisesti haaste harmonisoinnin ja ennustettavuuden kannalta. Rekisterinpitäjien kannalta oikeuden saamisen hitaus voi tarkoittaa esimerkiksi markkinahäiriötilanteen tarpeetonta jatkumista.
Ylikansallisissa asioissa oikeus saattaa yhä enemmän loitontua. Kun kollegaviranomaisemme huomaavat, ettemme ehkä pysty hoitamaan kaikkia ylikansallisia asioita samalla tehokkuudella kuin muut, he saattavat alkaa toimia kansallisesti. Tällä voi luonnollisesti olla haitallisia vaikutuksia myös koko tietosuoja-asetuksen harmonisointi-ideaan. Kansallisen erityislainsäädäntömme kaikkia koukeroita ei Euroopassa hallita. Suomi lienee edelleen ainoa maa, jossa on esimerkiksi työelämän tietosuojalaki.
Odotamme kansallista tietosuojalakia, koska ilman sitä emme pääse muodostamaan tarvittavaa, uutta organisaatiotamme. On esitetty kahta apulaistietosuojavaltuutettua. Kummallakin olisi itsenäiset toimivaltuudet. Pidän hyvänä ajatusta, että tämä kolmikko voisi esimerkiksi määrittää hallinnolliset seuraamukset. Pohdimme myös, tuleeko meille asiantuntijalautakunta tai jokin muu monijäseninen toimielin. Asioiden käsittelyn prosesseja emme pysty tässä tilanteessa suunnittelemaan ihan loppuun asti. Tämä puolestaan voi heikentää kykyämme tiedottaa asioista. Näin ollen voidaan sanoa, että oikeuden saanti on muuttumassa tehottomammaksi.
Komissio muuten kuvaa jäljempänä viittaamassani tiedonannossa kansallisten tietosuojaviranomaisten roolia näin: ”Tietosuojaviranomaisten tehtäviin kuuluu tiedottaminen rekisterinpitäjille ja käsittelijöille näiden velvoitteista. Lisäksi niiden tehtävänä on suuren yleisön tietoisuuden ja ymmärryksen parantaminen tietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista. Tämä ei kuitenkaan tarkoita, että rekisterinpitäjien ja henkilötietojen käsittelijöiden pitäisi odottaa saavansa tietosuojaviranomaisilta sellaista räätälöityä ja yksilöllistä oikeudellista neuvontaa, jota vain lakimiehet tai tietosuojavastaavat voivat tarjota.” (Lihavointi kirjoittajan.) Komissio jatkaa: ”Resurssipuute voi myös heikentää tietosuojaviranomaisten mahdollisuuksia käyttää valtuuksiaan, esimerkiksi tutkintavaltuuksia. Jäsenvaltion on lain mukaan osoitettava kansalliselle tietosuojaviranomaiselle tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen, jotta viranomainen voi suorittaa tehtävänsä ja käyttää valtuuksiaan tehokkaasti.”
Komissio antoi 24.1.2018 päivätyn tiedonannon Euroopan parlamentille ja neuvostolle. Siinä komissio kertoo aikovansa toteuttaa jäsenvaltioiden osalta mm. seuraavia toimia: ”Toukokuun 2018 jälkeen komissio aikoo valvoa tiiviisti asetuksen soveltamista jäsenvaltioissa ja toteuttaa tarvittavia toimia, mukaan lukien rikkomusmenettelyt”. Sekään ei siis ole poissuljettua, että me EU:n mallioppilaat joudumme komission toimien kohteeksi.
Tällä hetkellä on käynnissä henkilötietojen suojan osalta vilkas työ asiaa koskevan erityislainsäädännön uudistamiseksi asetukseen liittyvän kansallisen liikkumavaran rajoissa, samoin kuin tarpeettomien lakien kumoamiseksi. Käynnissä on ainakin jonkinmoiset normienpurkutalkoot. Usein lainsäädännössä käytetään viittauksia. Tässä tapauksessa viittaus haluttaisiin osoittaa kansalliseen tietosuojalakiin, mutta mitä teet, kun se puuttuu. Eri ministeriöissä tehtävä työ siis jämähtää odottamaan uutta lakiamme.
Oma lukunsa on hankaluus, joka meille täällä tietosuojavaltuutetun toimistossa asiasta koituu. Joudumme analysoimaan jokaisen kantelun ja sen käsittelyyn liittyvän kansallisen lain toimivaltamme kannalta. Onko kysymys tilanteesta, jossa ei ole kansallista liikkumavaraa, mutta jonka ratkaiseminen voi tapahtua nykyisten toimivaltojemme puitteissa. Sitten on vielä – kuten edellä esitin – tilanteet, joissa sovelletaan tietosuoja-asetusta, mutta joiden ratkaisemiseen meillä ei ole tehokkaita toimivaltuuksia.”
Lähde:
https://tietosuoja.fi/artikkeli/-/asset_publisher/…
Ilmoita asiaton viesti
Kommentistasi voi Kirsi tehdä sen saman johtopäätöksen, jonka jo edellä totesin. Kyse on hyvin perustavanlaatuisista ongelmista ja nämä asiat eivät todellakaan ole mitään yksinkertaisia, kun niitä todennäköisesti ymmärtää vain hyvin suppea porukka ja heilläkin on varmasti vaikeuksia ymmärtää näitä tietosuojaan liittyviä kommervenkkejä.
Ilmoita asiaton viesti
Pitäisi mennä pala kerrallaan ja aloittaa saattamalla asiakastietolaki vastaamaan GDPR:n vaatimuksia 🙂
Ilmoita asiaton viesti
Lasselle, kommentti 12:een. Tarkoitatko siis ”Laki potilaan asemasta ja oikeuksista” -lakia? Ks. alla:
https://www.finlex.fi/fi/laki/ajantasa/1992/19920785
Siis sitä, joka on nyt Lausuntopalvelu.fi -lausunnoilla:
https://www.lausuntopalvelu.fi/FI/Proposal/Partici…
Siitäkö tulisi aloittaa? Mikä seuraavaksi?
Missä vaiheessa Tietosuojavaltuutetun toimivaltapuutteet tulisi käsitellä?
Ilmoita asiaton viesti
Kirsille kommentti kohtaan 13
28.6.2018
HALLITUKSEN ESITYS EDUSKUNNALLE LAIKSI SOSIAALI-
JA TERVEYDENHUOLLON ASIAKASTIETOJEN SÄHKÖISESTÄ
KÄSITTELYSTÄ JA ERÄIKSI SIIHEN LIITTYVIKSI LAEIKSI
https://valtioneuvosto.fi/documents/1271139/618455…
Ilmoita asiaton viesti
Harrille, kommentti 14:ään:
Kiitos linkkauksesta. Olisin tässä kohtaa mielelläni kuullut myös Lassen näkemyksen asiaan.
Ilmoita asiaton viesti
Esitysluonnos asiakastietolaiksi on nyt lainsäädännön arviointineuvostossa. Minusta olisi tärkeää saada nämä valtakunnalliset palvelut ensin kestävälle pohjalle. Ne pitää arvioida sekä oman perustuslain että GDPR:n kannalta. Vasta kun tämä on tehty, voidaan niiden varaan rakentaa valinnanvapautta tms.
Ilmoita asiaton viesti
Lasselle, kommenttiin nro 16. Onko siis ”Laki potilaan asemasta ja oikeuksista” sama kuin kertomasi ”asiakastietolaki”? Voisitko linkittää tarkoittamasi asiakastietolakiluonnoksen vielä tänne?
Vai kuuluuko kokonaisuuteen monta lakia, joiden uusi yhdistelmä on tuo ”Asiakastietolaki”?
Haen vaan sitä asiakas-, asiakastieto-, asiakasmaksu- ja potilaslakikokonaisuutta, josta ilmenee, mitkä ”vanhat” lait jäävät voimaan ja mitkä tulevat uusina?
Ilmoita asiaton viesti
Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (=asiakastietolaki) on Kanta-arkiston perustana. Sitäkin nyt uudistetaan: https://valtioneuvosto.fi/artikkeli/-/asset_publis…
Ilmoita asiaton viesti
Onpa taas järkeä pyytää asiantuntijoiden lausunnot asiasta josta jo etukäteen tiedetään ettei se ole lopullisessa muodossaan, toki on linjassa koko paketin hosumisen kanssa.
Pitäisi sipilän muistaa mitä sananlaskun
Mukaan seuraa lapselle kun tekovaiheessa hosutaan
Ilmoita asiaton viesti
Jotta palvelujen integrointi sujuisi edes jotenkin tyydyttävästi (mitä kyllä suuresti epäilen!), niin monikansallisille terveysjäteille jouduttaisiin antamaan vapaa pääsy kansalaisten terveystietoihin. Mikä estää näitä jakamasta samaan konserniin kuuluville ulkomailla toimiville yrityksen osille ja näitä taas myymästä tietoja eteenpäin?
Ilmoita asiaton viesti
Raimo. Kuka ennen kaikkea pystyisi tätä valvomaan, ettei näin kävisi terveyspalveluitten entistä laajemmassa ulkoistuksessa soteuudistuksessa? Epäilen, ettei kukaan. Miten kävi silloin aikanaan Ruotsissa? Skandaalissa oli kyse Ruotsin kuljetushallituksen vuonna 2015 tekemästä Iit-palveluiden ulkoistuksesta. https://www.kaleva.fi/uutiset/ulkomaat/tietoturvas…
Ilmoita asiaton viesti
Tuota- miten tietosuoja vaikuttaa erityisesti sote-uudistukseen?
Millä tolalla se nyt on, kun tiedot ovat hajallaan siellä täällä? Koskevat tietenkin kukin rajallisempaa joukkoa ihmisiä mutta ovat suuremman ja vähemmän valvottavissa olevan joukon vilpin mahdollisena kohteena.
Kuka näitä tietoja myisi ja kenelle, kun niihin pääsy kohdistetaan sairaan- tai sosiaalihoidon ammattihenkilöille, joilla jo valmiiksi on vaitiolovelvollisuus tietoonsa tulevista asioista.
Omakannasta kukin voi tarkistaa omat ja vain omat tietonsa, ei muiden.
Ilmoita asiaton viesti
Oletpa hyväuskoinen! Vaikka tiedot olisivatkin yhdessä paikassa, niin samat ihmiset niitä sinne syöttävät ja käsittelevät. Aina löytyy ihmisiä, jotka ovat valmiita toimimaan vastoin kieltoja varsinkin palkkioita vastaan. Mitkään tietojärjestelmät eivät ole sataprosenttisesti turvallisia huipputaitavia hakkeroijia vastaan, joten yksi massiivinen tietokanta on heille suorastaan aarrearkku.
Ilmoita asiaton viesti
Singaporen potilastietokantojen hakkerointi vähän aikaa sitten nousi Suomessakin julkisuuteen: https://edition.cnn.com/2018/07/20/asia/singapore-…
Tarkoituksena tietojen saantiin voi yksinkertaisesti olla vaikuttaminen (esim. ulkom. tiedustelupalvelujen taholta, kuten ilm. Singaporessa oli kyse) taikka esim. taloudellisen hyödyn tavoittelu (yritykset). Suomessa potilastietojen salakatselun syynä on useimmiten uteliaisuus (julkkikset) taikka perje/naapuririidat (huoltajuusriidat yms.).
Ilmoita asiaton viesti
Tuohon aiheeseen liittyen pidin aikanaan juhlaluentoni, kun tulin nimitetyksi professoriksi Helsingin yliopistoon 🙂 Laitetaan työn alle, mutta sote on vienyt alan professoreilta aikaa pois tieteelliseltä kirjoittamiselta…
Ilmoita asiaton viesti